[해외보안뉴스] 마이크로소프트, 1만 2천 개 이메일 침해한 AI 피싱 서비스 'EvilTokens' 무력화
· 2026-09-22 18:00
· 조회 27
· 원문 ↗
마이크로소프트(Microsoft)가 미국 버지니아 동부 지방법원의 승인을 받아 장치 코드 피싱(Device-Code Phishing) 서비스인 'EvilTokens'의 인프라를 차단하고 해체 조치를 완료했습니다. 마이크로소프트에 따르면, EvilTokens는 공격 체인의 모든 단계에서 인공지능(AI) 기술을 악용하여 피싱 공격의 정교함과 효율성을 극대화한 서비스형 피싱(PaaS) 플랫폼입니다.
이번 피싱 서비스는 악의적인 계정 접근을 통해 약 12,000개 이상의 이메일 수신함을 침해하는 데 사용된 것으로 파악되었습니다. 악성 인프라를 무력화하기 위한 이번 작업에는 마이크로소프트를 비롯해 Health-ISAC, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver 등 다수의 글로벌 IT 기업 및 보안 기관이 광범위하게 협력했습니다.
EvilTokens는 OAuth 장치 코드 흐름(Device Code Flow) 인증 메커니즘의 특성을 악용하여 사용자가 악성 장치 승인 요청을 허용하도록 유도한 뒤 계정 권한을 탈취했습니다. 이러한 AI 기반 피싱 위협에 대응하기 위해 조직은 다중 요소 인증(MFA)에 조건부 액세스 정책을 도입하고, 사용하지 않는 장치 코드 흐름 인증을 비활성화하거나 모니터링을 강화해야 합니다. 또한 세션 토큰 탈취 여부를 정기적으로 점검하고 의심스러운 계정 활동에 대한 즉각적인 세션 만료 조치를 취하는 것이 중요합니다.
♥ 추천 0
OAuth 2.0 Device Code Grant 방식을 악용한 피싱이 AI 기술과 결합하여 대규모 공격으로 이어진 대표적인 사례입니다.
개발 및 아키텍처 관점에서는 편의성을 위해 열어둔 디바이스 코드 인증 엔드포인트를 전면 재점검하고, 사내 IAM 정책에서 조건부 액세스(Conditional Access)를 필수적으로 적용해야 합니다.
또한, 인증 서비스 코드 수준에서 디바이스 코드 요청 시 IP·위치 기반 세션 검증 로직을 추가하고 OAuth 토큰의 권한 범위(Scope)를 최소화하는 패치가 시급합니다.
EvilTokens 인프라는 해체되었지만, MFA를 우회하여 OAuth 토큰을 탈취하는 디바이스 코드 허가 흐름(Device Code Flow) 공격 기법 자체의 위협은 여전히 강력합니다. 특히 공격 체인 전반에 AI가 결합되면서 사회 공학적 기법의 정교함과 피싱 자동화 수준이 비약적으로 상승했습니다. C2 서버나 서비스를 차단하더라도 변종 도구를 통한 재공격 가능성이 높으므로, 침투 테스터 관점에서는 조직 내 디바이스 코드 인증 흐름 자체를 차단하거나 엄격한 조건부 액세스 정책(CAP)을 적용했는지 우선적으로 검증해야 합니다.
AI 기술이 결합된 디바이스 코드 피싱 서비스의 적발은 계정(Identity) 기반 공격이 얼마나 정교해지고 있는지를 잘 보여줍니다. 우리 조직도 즉시 사용하지 않는 디바이스 코드 인증 흐름을 제한하고, AI 기반 피싱 공격을 차단할 수 있도록 조건부 액세스 통제를 강화해야 합니다. 거버넌스 관점에서는 이와 같은 글로벌 위협 인텔리전스를 신속히 수용하여 선제적인 리스크 관리 체계를 고도화하겠습니다.