[해외보안뉴스] 마이크로소프트 공식 X 계정 해킹… 클리피 테마 암호화폐 사기에 악용
· 2026-10-03 02:00
· 조회 28
· 원문 ↗
마이크로소프트(Microsoft)의 공식 X(구 트위터) 계정이 암호화폐 사기범들에게 탈취당하는 사건이 발생했습니다. 해커들은 과거 마이크로소프트 오피스의 마스코트였던 '클리피(Clippy)'를 테마로 한 암호화폐 계정을 홍보하고 사기성 콘텐츠를 확산시키기 위해 해당 공식 계정을 악용했습니다.
이번 사건은 약 1,300만 명에 달하는 팔로워를 보유한 거대 공식 계정이 타깃이 되었다는 점에서 파급력이 컸습니다. 기업의 공식 계정이 가지는 높인 신뢰도를 이용해 사용자들에게 악성 링크 클릭을 유도하거나 가상자산 지갑 연결을 유도함으로써, 대규모 금융 피해로 이어질 수 있는 위험한 상황이 연출되었습니다.
마이크로소프트는 사건 발생 후 즉시 계정 제어권을 회수하고 관련 사기 게시물을 삭제 조치했습니다. 이러한 계정 탈취 피해를 막기 위해 기업 및 관리자는 SNS 계정에 강력한 다중 요소 인증(MFA)을 필수적으로 적용하고, 계정에 연동된 제3자 앱 권한을 정기적으로 검토해야 합니다. 아울러 일반 사용자 역시 공식 인증 마크가 달린 계정이라도 갑작스러운 암호화폐 홍보나 링크 접속을 유도할 경우 신중하게 사실 여부를 확인하는 자세가 필요합니다.
♥ 추천 0
거대 기업의 공식 계정마저 뚫린 것을 보면, 내부 임직원 대상의 피싱이나 연동된 3rd-party 소셜 미디어 관리 툴의 OAuth 토큰 유출 가능성이 높아 보입니다.
아키텍처 관점에서는 외부 연동 앱의 권한 범위를 최소화(Least Privilege)하고, 세션 탈취를 방지하기 위해 FIDO2 기반 하드웨어 MFA를 강제해야 합니다.
또한, 이상 포스팅이나 급격한 메타데이터 변경을 감지해 즉시 연동 토큰을 만료시키는 자동화된 킬 스위치(Kill-switch) 파이프라인 구축이 시급합니다.
1,300만 명의 팔로워를 보유한 기업 공식 계정 탈취는 소셜 엔지니어링 신뢰도를 극대화하여 신속하게 피해를 확산시키는 치명적인 공격 벡터입니다. 단순 자격 증명 유출보다는 연동된 서드파티 애플리케이션의 OAuth 토큰 유출이나 세션 하이재킹을 통해 권한을 획득했을 가능성에 무게가 실립니다. 기업의 SNS 계정은 브랜드 신뢰도를 담보로 하는 주요 타깃인 만큼, MFA 강제화는 물론 연동된 API 권한의 최소화 및 주기적인 세션 관리 정책 조치가 필수적입니다.
글로벌 IT 기업조차 공식 소셜 미디어 계정이 탈취될 수 있음을 보여주는 사례로, 이는 곧 심각한 브랜드 평판 및 신뢰도 리스크로 직결됩니다.
SNS 계정 역시 엄격한 보안 거버넌스 대상인 주요 자산으로 정의하고, 강력한 다중인증(MFA)과 최소 권한 기반의 접근 관리 정책을 철저히 적용해야 합니다.
아울러 외부 플랫폼 이용에 따른 제3자 리스크(Third-party risk)에 대비해 실시간 모니터링과 즉각적인 침해 대응 프로세스를 재점검하겠습니다.