Microsoft 365 accounts compromised at 79 organizations, no passwords needed

핵심 요약

공격자들이 10주간 탈취한 Microsoft 365 로그인 세션을 재사용하여 79개 조직의 이메일 계정을 침해하고, 숨겨진 받은 편지함 규칙을 설정하여 피해자가 메일 일부를 볼 수 없도록 조작했습니다. 이 공격은 패스워드 없이 유효한 세션 토큰을 재사용하는 방식으로 Initial Access(TA0001) 및 Persistence(TA0003)를 확보했으며, 이를 통해 계정 탈취(T1078 – Valid Accounts)를 성공시켰습니다. IT 감사인 및 CISO는 이러한 세션 하이재킹 공격에 대한 방어 체계를 점검하고, 다단계 인증(MFA) 우회 공격 및 세션 토큰 탈취 방지 대책의 실효성을 평가해야 합니다.

개선 권고안

• ✔기술적 조치Microsoft 365 환경에서 세션 하이재킹 및 토큰 탈취 공격을 탐지하고 차단하기 위한 고급 위협 방어(ATP) 기능을 활성화하고, 조건부 액세스 정책을 강화하여 비정상적인 로그인 시도 및 세션 재사용을 제한해야 함을 권고함.
• ✔기술적 조치Microsoft 365 감사 로그를 SIEM 또는 XDR 솔루션과 연동하여 로그인 이벤트, 세션 활동, 받은 편지함 규칙 생성/수정 등 주요 활동에 대한 실시간 모니터링 및 이상 징후 탐지 규칙을 고도화해야 함을 권고함.
• ✔기술적 조치Microsoft 365 Exchange Online 환경에서 사용자 받은 편지함 규칙(Inbox Rules)에 대한 정기적인 점검 스크립트를 운영하고, 비정상적인 규칙 생성 또는 수정 시 즉시 관리자에게 알림이 전송되도록 설정해야 함을 권고함.
• ✔관리적 조치다단계 인증(MFA)이 모든 Microsoft 365 계정에 적용되었는지 확인하고, 피싱 방지 MFA(예: FIDO2 보안 키, 숫자 일치) 도입을 검토하여 MFA 우회 공격에 대한 방어력을 강화할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 세션 하이재킹, 피싱, 토큰 탈취 등 최신 공격 기법에 대한 보안 교육을 정기적으로 실시하여 사용자 보안 인식을 제고하고 의심스러운 활동 보고를 장려할 것을 권고함.
• ✔관리적 조치Microsoft 365 보안 구성에 대한 정기적인 보안 감사 및 취약점 점검을 수행하고, Microsoft의 보안 권고 사항을 지속적으로 검토 및 적용하여 서비스의 보안 상태를 최신으로 유지할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기