2026년 최신 피싱 캠페인, 가짜 팀즈 알림으로 사용자를 진짜 마이크로소프트 로그인 페이지로 유도해 앱 동의를 탈취합니다. MFA도 무력화하는 새로운 공격 방식과 방어 전략을 알아봅니다.
2026년 피싱의 새로운 전환점
2026년 6월 말부터 7월까지 전 세계 120개 조직의 200명 이상의 사용자를 대상으로 한 전례 없는 피싱 캠페인이 발견되었습니다. 이 공격은 조직이 지난 10년간 직원들에게 가르쳐온 대부분의 피싱 방어 지침을 무용지물로 만들며 보안 환경에 큰 변화를 예고했습니다. 체크포인트의 이메일 연구팀이 공개한 이 캠페인은 가짜 마이크로소프트 팀즈 알림을 교묘하게 활용했으나, 피해자들을 ‘진짜’ 마이크로소프트 로그인 페이지로 유도했다는 점에서 기존 피싱 방식과는 확연히 달랐습니다. 이는 공격자들이 마이크로소프트의 ‘정문’을 위조하는 대신, 합법적인 경로를 통해 침투하는 새로운 패러다임으로의 전환을 의미합니다.
가짜 알림, 진짜 로그인 페이지
피싱 이메일은 마이크로소프트 플래너의 작업 할당 알림처럼 정교하게 위장하여 사용자들을 속였습니다. 발신자 이름은 “There’s New Activity On Team”으로, 제목은 “HR이 팀즈 채팅으로 세 개의 메시지를 보냈습니다”라고 명시되었습니다. 본문에는 급여 및 복리후생 업데이트에 대한 중요 공지 언급과 함께, 네 개의 기한이 지난 직원 작업이 있다는 카운터가 포함되어 있어 피해자들이 즉각적인 조치를 취하도록 긴급성을 유도했습니다. 보안 전문가에게는 모든 링크가 동일한 리다이렉트를 통해 연결되고, 발신자 주소가 수신자 본인 조직으로 표시된 점이 의심스러웠지만, 일반 사용자에게는 이토록 교묘한 위장술을 분별하기란 매우 어려운 일이었습니다. 이러한 치밀함이 공격 성공의 주요 요인으로 작용했습니다.
비밀번호 대신 ‘권한’을 노린다
이 공격의 핵심은 전통적인 방식의 비밀번호 탈취가 아니었습니다. 실제 계정 침해는 피해자가 자발적으로 클릭한 ‘권한 요청 프롬프트’를 통해 이루어졌습니다. 이는 공격 전술의 근본적인 변화를 보여주며, 공격자들이 마이크로소프트의 인증 시스템을 정면으로 돌파하기보다 우회하는 방식을 택했음을 의미합니다. 피해자들은 공격자가 제어하는 앱에 대한 권한 승인을 요청받았고, 이를 승인하면 공격자는 메일, 파일, 팀즈, 셰어포인트, 원드라이브, 캘린더 등 마이크로소프트 365 환경의 핵심 데이터와 기능에 대한 광범위한 접근 권한을 획득하게 됩니다. 이 모든 과정에서 사용자의 다단계 인증(MFA)은 전혀 무력화되지 않았으며, 공격자는 비밀번호를 알지 못해도 계정에 침투할 수 있었습니다.
MFA도 무력화하는 교묘한 수법
다단계 인증(MFA)은 현대 사이버 보안에서 계정 로그인 보안을 강화하는 가장 강력한 수단 중 하나로 널리 인식되어 왔습니다. 그러나 이번 팀즈 피싱 공격에서는 MFA가 예상과 달리 무력했습니다. MFA는 사용자의 로그인 시퀀스를 안전하게 보호하는 데 중점을 두지만, 로그인 이후 사용자의 데이터에 대한 앱 접근 자체를 보호하지는 못하기 때문입니다. 공격자는 사용자 비밀번호나 두 번째 인증 요소를 전혀 필요로 하지 않았습니다. 대신, 사용자의 유효한 로그인 세션에서 합법적으로 부여된 토큰을 획득하여, 마치 사용자인 것처럼 행동할 수 있는 무단 접근 권한을 얻었습니다. 이러한 기술을 ‘동의 피싱’이라고 하며, 이는 기존 보안 모델의 근본적인 한계를 명확히 보여주는 심각한 사례입니다.
공격의 상세 과정: 사용자 동의 악용
피싱 이메일의 링크를 클릭한 사용자들은 login.microsoftonline.com의 실제 OAuth 승인 URL로 연결되었습니다. 이는 마이크로소프트의 정품 인증 페이지이므로, 사용자들은 의심할 여지 없이 로그인 절차를 진행했습니다. 로그인 후에는 사용자에게 앱에 대한 권한을 승인하거나 조직을 대신하여 수락할 것을 요청하는 정교한 권한 요청 프롬프트가 나타났습니다. 사용자가 이를 승인하면, 마이크로소프트는 브라우저를 원래 요청에 지정된 리디렉션 주소인 공격자가 제어하는 AWS API 게이트웨이 엔드포인트로 이동시켰습니다. 이 과정에서 전달된 승인 코드를 공격자들이 교환하여 사용자 데이터에 대한 완전한 접근 권한을 확보했습니다. 이처럼 비밀번호 탈취도, 가짜 페이지도 없이 합법적인 경로를 통해 접근 권한을 얻는 방식은 기존 Kali365 플랫폼의 세션 쿠키나 OAuth 토큰 탈취와 유사하지만, 더 영구적인 동의 권한을 노린다는 점에서 한층 진화한 형태입니다.
기존 보안 교육이 통하지 않는 이유
기존의 보안 교육은 일반적으로 사용자에게 이메일의 URL을 확인하고, 웹사이트의 자물쇠 아이콘을 찾으며, 의심스러운 오타나 문법적 오류를 주의하라고 가르칩니다. 하지만 이번 동의 피싱 공격에서는 이러한 모든 전통적인 조치들이 완전히 무의미했습니다. 공격에 사용된 도메인과 SSL/TLS 인증서는 모두 마이크로소프트의 것이었으며, 사용자에게 표시된 로그인 페이지는 매일 같이 이용하는 바로 그 익숙한 화면이었기 때문입니다. 이는 사용자에게 강한 신뢰감과 잘못된 보안 인식을 심어주어, 겉으로는 안전해 보이는 상황에서 자신도 모르게 공격자의 의도에 동조하게 만듭니다. ‘진짜’ 속에 숨겨진 ‘가짜’를 찾아내기란 숙련된 보안 전문가조차 쉽지 않은, 매우 어려운 도전입니다.
주요 방어 전략: 앱 동의 제한
이러한 정교한 동의 피싱 공격을 효과적으로 방지하기 위한 방법은 여러 가지가 있지만, 가장 간단하면서도 강력한 두 가지 전략이 있습니다. 첫째, 모든 사용자가 앱에 권한을 부여하는 동의 화면을 클릭하기 전에 그 내용을 매우 신중하게 검토하고, 요청되는 권한의 범위를 명확히 이해하도록 철저히 교육해야 합니다. 둘째이자 더욱 중요한 것은, 시스템 관리자 수준에서 Microsoft Entra(이전 Azure AD)를 통해 일반 사용자 계정이 애플리케이션에 부여할 수 있는 권한 접근 범위를 최소한으로 제한하는 것입니다. 체크포인트는 이번 캠페인이 현재는 비활성화되었다고 밝혔지만, 그 기반 기술은 여전히 존재하며 끊임없이 진화하므로 최소한 후자의 관리적 방어 조치는 신중하게 구현하고 지속적으로 관리해야 합니다.
미래의 위협: 끊임없이 진화하는 공격
체크포인트에 따르면, 2026년 현재 이 동의 피싱 기술은 ‘서비스형 공격(Phishing-as-a-Service)’ 모델로 완전히 상품화되어 임대 가능한 형태로 제공되고 있습니다. 이는 특정 고급 공격자만이 아닌, 누구나 손쉽게 이러한 고도화된 피싱 공격을 수행할 수 있게 되었다는 것을 의미하며, 위협의 확산 속도와 빈도를 기하급수적으로 가속화할 수 있습니다. 따라서 사용자가 가짜를 식별하는 데만 의존하는 것은 더 이상 충분한 방어책이 될 수 없습니다. 조직은 앱 동의 정책을 엄격하게 관리하고, 클라우드 환경에서의 권한 관리를 최적화하며, 제로 트러스트(Zero Trust) 원칙을 도입하는 데 집중해야 합니다. 2026년의 보안 환경은 끊임없이 변화하며, 우리는 능동적이고 선제적인 방어 전략을 통해 새로운 위협에 맞서야 합니다.
