[해외보안뉴스] 마이크로소프트, 오는 10월부터 Entra ID 대상 외부 스크립트 주입 공격 차단 강화
· 2026-10-01 01:00
· 조회 19
· 원문 ↗
마이크로소프트(Microsoft)가 오는 10월부터 자사의 클라우드 ID 및 액세스 관리 서비스인 Entra ID(구 Azure AD)를 노린 외부 스크립트 주입 공격 차단을 강화한다고 발표했습니다. 이번 보안 조치는 사용자 지정 브랜딩 로그인 페이지에서 발생할 수 있는 크로스 사이트 스크립팅(XSS) 및 악성 스크립트 실행 위험을 줄이기 위한 것으로, 공격자가 사용자 자격 증명을 탈취하거나 인증 세션을 하이재킹하는 것을 방지하는 데 목적이 있습니다.
이번 정책 변경의 영향 범위는 Entra ID의 로그인 페이지를 사용자 정의(Custom Branding)하여 운영하면서 외부 서버나 콘텐츠 전송 네트워크(CDN)를 통해 JavaScript 등 외부 스크립트를 로드하도록 설정한 기업 및 기관입니다. 10월부터 해당 외부 스크립트 로드가 일체 차단되므로, 사전 조치가 완료되지 않은 경우 로그인 페이지의 레이아웃이 깨지거나 인증 기능이 정상 작동하지 않는 장애가 발생할 수 있습니다.
따라서 보안 관리자와 IT 담당자는 현재 운영 중인 Entra ID 커스텀 로그인 페이지 설정을 즉시 점검해야 합니다. 외부 스크립트에 대한 의존성을 사전에 제거하고, 마이크로소프트가 권장하는 기본 제공 기능으로 대체하거나 관련 코드를 내장형으로 수정하는 작업이 필요합니다. 또한 본격적인 정책 적용 전 테스트 환경에서 인증 흐름을 사전 검증하여 사용자 불편 및 서비스 중단을 예방해야 합니다.
♥ 추천 0
Entra ID 기반 인증 흐름에서 스크립트 인젝션을 차단하는 조치는 IAM 보안성 향상 측면에서 매우 반가운 변화입니다.
다만 커스텀 브랜딩이나 B2C 로그인 페이지에서 외부 JS를 동적으로 로드하던 기존 코드들은 10월 차단 정책 적용 시 서비스 장애로 이어질 수 있어 즉시 호환성 점검이 필요합니다.
이번 기회에 인증 단의 클라이언트 스크립트 의존성을 최소화하고, strict한 CSP(Content Security Policy)를 재정비하는 아키텍처 리팩토링을 선제적으로 진행해야겠습니다.
Entra ID는 기업 인증의 핵심 기반이므로, 스크립트 인젝션을 통한 세션 토큰 탈취나 MFA 우회는 공격자에게 파급력이 매우 크고 매력적인 벡터였습니다.
이번 조치로 IDP(Identity Provider) 지점에서의 직접적인 XSS 및 세션 하이재킹 악용 난이도가 크게 높아질 것으로 보입니다.
이에 따라 향후 침투 테스트 시나리오는 IDP 자체 공격보다 OAuth 컨센트 피싱이나 AiTM(Adversary-in-the-Middle) 프록시를 활용한 외부 우회 공격 기법으로 점차 중심 축이 이동할 것입니다.
클라우드 ID 관리가 현대 보안 경계의 핵심인 만큼, Entra ID의 스크립트 인젝션 차단 조치는 계정 탈취 리스크를 대폭 낮추는 반가운 변화입니다. 다만 보안 강화 과정에서 기존 인증 관련 커스텀 스크립트나 서비스 연동에 오류가 발생해 비즈니스 중단 리스크가 생기지 않도록 사전 조치가 필수적입니다. 보안 및 IT 운영 조직은 10월 적용 전 영향도를 조속히 평가하고, 자사 IAM 정책과의 호환성을 점검해 차질 없이 대비해 주시기 바랍니다.