마이크로소프트, IRS 피싱으로 29,000명 사용자 피해 경고, RMM 악성코드 배포

핵심 요약

마이크로소프트는 미국 세금 시즌을 악용하여 자격 증명을 수집하고 원격 모니터링 및 관리(RMM) 악성코드를 배포하는 새로운 피싱 캠페인에 대해 경고했습니다. 공격자들은 환급 통지, 급여 양식, 신고 알림 등으로 위장한 긴급하고 시간 민감성이 높은 이메일 메시지를 사용하여 수신자를 속여 악성코드를 실행하거나 자격 증명을 탈취하는 방식으로 공격을 시도합니다. 이는 사회공학적 기법을 통해 사용자 시스템에 악성코드를 침투시키고 내부 네트워크 접근 권한을 확보하려는 전형적인 초기 침투(Initial Access) 전략입니다. IT 감사인은 이러한 피싱 및 악성코드 유포 위협이 국내 금융·공공·IT 서비스 조직의 정보 자산에 미칠 수 있는 잠재적 위험을 인지하고, 임직원 보안 인식 제고 및 기술적 방어 체계의 실효성을 중점적으로 점검해야 합니다.

💡 개선 권고안

• ✔기술적 조치이메일 게이트웨이에서 스팸 필터, 악성 첨부 파일 샌드박스, SPF(Sender Policy Framework), DKIM(DomainKeys Identified Mail), DMARC(Domain-based Message Authentication, Reporting, and Conformance) 정책을 강화하고, 최신 위협 정보에 기반하여 탐지 규칙을 지속적으로 업데이트할 것을 권고함.
• ✔기술적 조치모든 사용자 단말에 엔드포인트 탐지 및 대응(EDR) 솔루션을 배포하고, RMM 악성코드와 같은 비정상적인 프로세스 실행, 파일 생성, 네트워크 통신을 탐지 및 차단할 수 있도록 정책을 최적화하며, 주기적인 로그 분석을 통해 미탐 및 오탐을 최소화할 것을 권고함.
• ✔기술적 조치모든 사용자 계정에 대해 다중 인증(MFA)을 의무화하고, 특히 외부에서 내부 시스템 및 클라우드 서비스 접속 시 MFA가 강제 적용되도록 정책을 수립 및 시행할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 사회공학적 공격(피싱, 스미싱 등)에 대한 정기적인 보안 인식 교육을 실시하고, 모의 피싱 훈련을 통해 실제 위협에 대한 대응 능력을 강화하며, 의심스러운 이메일 신고 절차를 명확히 안내할 것을 권고함.
• ✔관리적 조치원격 모니터링 및 관리(RMM) 솔루션의 사용 정책을 수립하고, 승인된 RMM 솔루션만 사용하도록 통제하며, 비인가 RMM 솔루션의 설치 및 실행을 방지하기 위한 기술적 통제를 강화할 것을 권고함.
• ✔관리적 조치침해사고 발생 시 신속하게 대응하고 복구할 수 있도록 비상 계획을 수립하고, 정기적인 모의 훈련을 통해 대응 절차의 실효성을 검증하며, 관련 부서 간 협력 체계를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문