[해외보안뉴스] JADEPUFFER 연계 해커, 탈취한 서비스 주체를 활용해 Azure 리소스 파괴 공격 수행
· 2026-09-28 11:00
· 조회 16
· 원문 ↗
위협 공격 그룹 JADEPUFFER(마이크로소프트 추적명 Storm-3168)가 탈취한 서비스 주체(Service Principal)를 악용하여 마이크로소프트 Azure 클라우드 환경 내부의 리소스를 무단 삭제하는 파괴적인 공격을 감행했습니다. 이번 공격은 약 18시간 동안 집중적으로 진행되었으며, 마이크로소프트는 이를 해당 공격 그룹의 공격 기법(Tradecraft)이 한 단계 진화한 사례로 평가하고 있습니다.
서비스 주체는 애플리케이션이나 서비스가 특정 Azure 리소스에 접근할 때 사용하는 비인간(Non-human) 계정 자격 증명입니다. 공격자는 사전에 유출되거나 탈취된 서비스 주체의 인증 정보를 활용하여 일반 사용자 인증 단계와 다중 요소 인증(MFA)을 우회했습니다. 이후 해당 계정에 부여된 권한을 악용하여 테넌트 내 주요 클라우드 리소스를 무단으로 삭제하며 대규모 서비스 장애와 데이터 손실을 야기했습니다.
이와 같은 클라우드 자격 증명 남용 및 파괴 공격에 대응하기 위해서는 최소 권한 원칙(PoLP)을 적용해 서비스 주체에 필요한 최소한의 권한만 부여해야 합니다. 또한 주기적인 자격 증명 감사와 함께 Azure Key Vault를 통한 시크릿 관리를 강화해야 합니다. 조직은 리소스의 대량 삭제나 비정상적인 API 호출을 즉각 감지하고 차단할 수 있는 실시간 클라우드 모니터링 및 경보 시스템을 반드시 마련해야 합니다.
♥ 추천 0
서비스 프린시플(Service Principal) 탈취가 실제 리소스 파괴로 이어진 위협적인 사례입니다. CI/CD 파이프라인이나 앱 구성 시 탈취 위험이 높은 고정 시크릿 대신 Managed Identity나 OIDC 기반 인증을 우선 적용해야 합니다. 또한 아키텍처 관점에서 프로덕션 리소스의 삭제(
*.delete) 권한을 엄격히 제한하고, 리소스 잠금(Resource Lock)과 Soft Delete 정책을 강제하여 즉각적인 파괴를 막는 최소한의 방어선이 필요합니다.서비스 주체(Service Principal)는 MFA 적용이 어렵고 관리가 소홀해 과도한 권한이 부여되는 경우가 많아, 침투 테스트 시에도 우선적으로 노리는 매우 치명적인 공격 벡터입니다.
공격자가 탈취한 비인간 식별자(Non-human Identity)를 악용하면 탐지를 회피하면서 단시간 내에 클라우드 인프라를 대규모로 파괴할 수 있음을 보여줍니다.
기업들은 사용자 계정 중심의 보안을 넘어 서비스 주체에 대한 엄격한 최소 권한(Least Privilege) 적용과 자원 삭제 API 호출에 대한 실시간 모니터링을 즉시 강화해야 합니다.
이번 사건은 서비스 주체(Service Principal)와 같은 비인간 계정(Non-Human Identity)이 조직의 클라우드 환경에서 치명적인 보안 사각지대가 될 수 있음을 보여줍니다. 인간 사용자뿐만 아니라 시스템 계정에 대해서도 엄격한 최소 권한 원칙과 주기적인 자격 증명 순환(Rotation) 정책을 철저히 적용해야 합니다. 또한, 파괴적인 공격으로 인한 비즈니스 중단을 막기 위해 주요 클라우드 자원에 대한 삭제 방지 잠금(Resource Lock) 및 백업 복구 거버넌스를 즉시 재점검하겠습니다.