[해외보안뉴스] 미국 기업 노린 'CSuite' 피싱 공격, Microsoft 365 세션 탈취 및 RMM 도구 유포 주의
· 2026-09-30 14:00
· 조회 12
· 원문 ↗
ANY.RUN의 보안 연구진에 따르면, 미국 내 주요 기업과 기관을 노린 'CSuite' 피싱 캠페인이 활발히 진행 중인 것으로 확인되었습니다. 총 351건의 샌드박스 분석 데이터 중 약 51%가 미국에서 수집되었으며, 공격자들은 계정 탈취를 넘어 장기적인 내부 침투를 위해 정교한 기법을 활용하고 있습니다.
이번 공격의 주요 타깃 분야는 기술, 제조, 공공 기관 및 컨설팅 영역입니다. 공격자는 다중 인증(MFA)을 우회하여 Microsoft 365 세션 토큰을 직접 강탈하는 방식을 사용합니다. 로그인 세션을 확보한 후에는 피해자의 시스템에 원격 관리 및 제어(RMM) 도구를 유포 및 설치하여 지속적인 원격 제어 권한을 획득합니다. 이를 통해 자격 증명 탈취 수준을 넘어 기업 내부망 침입 및 금융 사기로 공격을 확장하는 양상을 보입니다.
이러한 피해를 방지하기 위해서는 중간자 공격(AiTM)을 방어할 수 있는 FIDO2 기반 인증 방식을 도입하고 세션 토큰의 유효 기간을 단축해야 합니다. 또한 보안 담당자는 EDR 및 백신을 통해 승인되지 않은 RMM 도구의 실행을 차단하고, M365 로그 분석을 통해 의심스러운 비정상 로그인 및 세션 재사용 활동을 상시 모니터링해야 합니다.
♥ 추천 0
단순 MFA 도입만으로는 AiTM(Adversary-in-the-Middle) 공격을 통한 세션 토큰 탈취를 완전히 막기 어렵습니다. 시스템 아키텍처 측면에서 FIDO2/WebAuthn 기반의 피싱 저항성 인증으로 전환하고, CAE(Continuous Access Evaluation)를 적용해 세션 토큰의 유효성을 실시간 검증해야 합니다. 더불어 엔드포인트 단에서 미승인 RMM 도구의 실행을 차단하는 애플리케이션 화이트리스팅과 디바이스 바인딩 정책 강화가 시급해 보입니다.
M365 세션 쿠키 탈취를 통한 MFA 우회와 합법적인 RMM 도구 배포의 조합은 공격자 관점에서 매우 강력한 지속성(Persistence) 확보 시나리오입니다. 정상 원격 관리 소프트웨어를 악용(Living off the Land)함으로써 EDR 등 보안 솔루션의 탐지를 비껴가며 장기적인 C2 채널을 손쉽게 구축할 수 있습니다. 단순한 최초 침투(Initial Access)를 넘어 내부망 권한 승격과 지속적인 접근권 확보까지 일련의 공격 체인이 매우 매끄럽게 연결된 위협적인 벡터입니다.
단순 계정 유출을 넘어 M365 세션 탈취와 미승인 RMM 도구 설치로 이어지는 경영진 타깃 공격은 조직 전체의 거버넌스를 위협하는 중대한 리스크입니다. 이제는 단순 MFA 도입에 만족하지 않고, FIDO2 기반 인증과 세션 제어, 그리고 사내 RMM 도구에 대한 엄격한 애플리케이션 통제(Whitelisting) 정책을 즉시 적용해야 합니다. 경영진 대상의 맞춤형 위협 모니터링 체계와 전용 보안 가이드라인을 재정비하여 원격 침투 로드를 선제적으로 차단하겠습니다.