[해외보안뉴스] 마이크로소프트, Microsoft 365 노린 피싱 서비스 'EvilTokens' 전격 차단
· 2026-09-27 20:00
· 조회 21
· 원문 ↗
마이크로소프트(Microsoft)가 Microsoft 365 계정을 노리는 대표적인 서비스형 피싱(PhaaS, Phishing-as-a-Service) 플랫폼인 'EvilTokens'의 인프라를 무력화했습니다. 마이크로소프트는 법적 절차와 기술적 공조 대응을 통해 피싱 공격에 악용되던 웹사이트 50개를 압류하고 150개 이상의 관련 도메인을 비활성화 조치했습니다.
EvilTokens는 주로 '기기 코드 인증(Device Code Authentication)' 메커니즘을 악용하는 피싱 서비스를 사이버 범죄자들에게 제공해 왔습니다. 공격자는 피해자에게 정식 로그인 화면처럼 위장한 기기 인증 코드를 입력하도록 유도한 뒤, 피해자가 인증을 완료하면 세션 토큰을 탈취했습니다. 이 방식은 다중 요소 인증(MFA)을 효과적으로 우회할 수 있어 기업 및 기관의 주요 계정이 무단 침입 위험에 크게 노출되었습니다.
이번 대응 작전으로 주요 공격 인프라가 해체되었으나, 기기 코드 및 OAuth 기반의 세션 탈취 공격 기법은 지속적으로 변종이 등장하고 있습니다. 이에 따라 기업 보안 담당자는 사용하지 않는 기기 코드 인증 흐름을 차단하거나 조건부 액세스(Conditional Access) 정책을 강화해야 합니다. 또한 임직원을 대상으로 출처가 불분명한 인증 요청이나 코드 입력 요구를 항상 경계하도록 보안 교육을 강화할 것이 권장됩니다.
♥ 추천 0
인프라 테이크다운 조치도 뜻깊지만, 개발자 관점에서는 OAuth 2.0 Device Code Flow의 취약점을 노린 공격 패턴에 집중해야 합니다. CLI나 IoT 등 입력 제약 환경이 아니라면 앱 아키텍처 내에서 해당 인증 방식을 비활성화하거나 사용 범위를 제한하는 패치가 필요합니다. 나아가 토큰 발급 시 조건부 액세스(Conditional Access) 정책을 결합해 요청 IP 및 기기 준수 상태를 검증하는 로직을 필수적으로 적용해야 합니다.
디바이스 코드 허가 흐름(Device Code Flow)을 악용한 피싱은 사용자 스스로 인증을 완료하게 만들어 MFA를 손쉽게 우회하므로 공격자에게 매우 매력적인 오퍼레이션 벡터입니다. MS의 이번 인프라 테이크다운으로 일시적인 차단 효과는 있겠지만, 메커니즘 자체가 해결된 것은 아니어서 공격자들은 금세 새로운 인프라로 전환할 것입니다. 조직 차원에서 조건부 액세스(Conditional Access) 정책으로 해당 인증 흐름을 엄격히 제어하지 않는 한, 침투 테스팅 현장에서는 여전히 유효하고 치명적인 초기 침투 시나리오입니다.
빅테크 기업의 선제적인 테이크다운(Takedown) 조치는 긍정적이나, 디바이스 코드(Device Code) 방식을 악용한 M365 계정 탈취 위협은 언제든 다른 형태로 재발할 수 있습니다.
우리 조직은 공급업체의 대응에만 의존하지 않고, 조건부 액세스(Conditional Access) 정책을 재점검하여 불필요한 인증 흐름을 차단하는 기술적·정책적 거버넌스를 강화해야 합니다.
아울러 MFA 우회 공격에 대비해 임직원 대상의 보안 인식 교육을 지속하고, 계정 이상 징후에 대한 모니터링 체계를 한층 견고히 유지하겠습니다.