Microsoft 365 AitM 악용 피싱 공격으로 계정 탈취... 급여 관련 이메일 수집

북미 및 유럽의 의료, 교육, 정부 서비스 부문 공격...단순 정보만 수집해 공격 탐지 우회

[보안뉴스 원병철 기자] 최근 마이크로소프트 365 계정을 장악해 재무 워크플로에 관련된 주요 담당자를 식별하고, 관련 이메일을 수집하기 위한 중간자 공격(AitM) 기법을 사용하는 ‘광범위한 이메일 기반 피싱 캠페인’이 활발하게 진행되는 것으로 알려져 주의가 요구된다.

글로벌 보안기업 아크틱 울프는 보고서를 통해 “이 피싱 캠페인은 주거용 프록시를 사용해 악성 로그인을 일반 소비자 트래픽으로 위장한다”면서, “자동화된 활동으로 약 8시간 간격으로 손상된 세션을 유지한다”고 설명했다.

중간자 공격(AitM)은 통신을 주고 받는 사용자와 서버 사이에 공격자가 끼어들어 교신 내용을 도청하거나 조작하는 공격을 말한다. 예전에는 MitM(Man-in-the-Middle)으로 불렸으나, 현재는 AitM(Adversary-in-the-Middle)로 통용된다.

이번 공격은 미국, 캐나다 및 유럽에 있는 의료, 교육, 제조, 정부 조직 및 전문 서비스 조직을 노린 것으로 보이며, 특히 마이크로소프트가 ‘Storm-2755’라는 이름으로 추적하는 Payroll Pirate 공격과 전술적으로 일부 겹치는 부분이 있는 것으로 알려졌다.

Payroll Pirates는 직원 계정을 탈취해 급여를 공격자가 관리하는 계정으로 빼돌리는 공격을 펼치는 조직을 말한다. 이러한 공격은 2025년 초부터 발견됐으며, 마이크로소프트는 관련 위협을 Storm-2657로 추적하고 있다고 보안매체 해커뉴스(The Hacker News)는 밝혔다.

아크틱 울프는 지난달 발생한 최근 피싱 공격의 하나로 수백 개의 조직이 이메일 공격의 표적이 되었으며, 그 결과 광범위한 피해 환경에 걸쳐 침입이 성공했다고 공개했다.

아크틱 울프는 “이 공격은 구글 미트 링크 리디렉션 URL에서 시작해 구글의 아웃바운드 링크 인프라를 거쳐 캠페인 매니저의 /ddm/clk 동적 클릭 추적기에 도달한다”면서, “우리가 관찰한 활동에서 추적기 URL에 포함된 대상은 아마존 AWS S3 버킷에 호스팅된 HTML 객체였으며, S3에 호스팅된 페이지는 피해자를 캠페인의 AitM 피싱 인프라로 리디렉션했다”고 설명했다.

또한 피싱 페이지는 또한 자바스크립트를 사용해 방문 호스트의 정보를 수집하며, 여기에는 웹 브라우저, 운영체제, 화면 및 창 크기, 브라우저 언어, 시간대 차이, 쿠키 기능, WebDriver 상태, WebGL 공급업체 및 브라우저 API 가용성에 대한 정보가 포함된다. 이 모든 정보는 패키징되어 HTTP POST 요청을 통해 PHP 엔드포인트로 전송되며, 스크립트는 브라우저를 프록시된 Microsoft OAuth 인증 엔드포인트로 리디렉션한다.

초기 접근 권한을 획득하면, 공격자는 탈취된 세션을 악용해 기업의 재무 관련 업무 담당자의 이메일 주소를 수집한다.

Storm-2755의 경우와 마찬가지로, 공격자들은 Microsoft Graph API를 이용해 급여, 인사, 재무 및 관리 기능과 관련된 테넌트 사용자를 열거한 다음 급여, 송장, 결제, 은행 업무, 복리후생 및 내부 문서와 관련된 메시지에 접근한 것으로 확인됐다.

다만 공격자는 침해 후 세션 유지, 정찰 및 사서함 수집으로 활동을 제한했으며, 일반적인 비즈니스 이메일 공격(BEC)을 하지 않음으로써 계정 변경이나 발신 이메일 악용을 기반으로 한 조기 탐지를 피한 것으로 보인다.

[원병철 기자(boanone@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다