Widespread Token-Spraying Attacks Target Microsoft 365 Accounts For Email Compromise

핵심 요약

보안 연구원들은 피싱, 탈취된 세션 토큰, 사회공학 기법을 활용하여 마이크로소프트 365 계정을 노리는 광범위한 토큰 스프레이 공격이 기업 네트워크 접근 시도와 연관되어 있음을 확인했습니다. 공격자들은 초기 침투(Initial Access, TA0001)를 위해 피싱을 사용하고, 이후 탈취된 세션 토큰을 통해 지속적인 접근 권한을 확보하여 비즈니스 이메일 침해(BEC) 캠페인을 수행하는 것으로 분석됩니다. 이는 계정 탈취(T1586) 및 자격 증명 접근(Credential Access, TA0006) 전술을 활용하여 사용자 세션을 하이재킹하는 방식으로 이루어집니다. IT 감사인은 이러한 공격이 국내 조직의 마이크로소프트 365 환경에도 영향을 미칠 수 있음을 인지하고, 세션 관리, 다단계 인증(MFA) 우회 방지, 피싱 방어 체계의 효과성을 중점적으로 점검해야 합니다.

개선 권고안

• ✔기술적 조치마이크로소프트 365 환경에 대한 조건부 접근 정책을 강화하여, 비정상적인 로그인 시도(예: 알려지지 않은 위치, 비정상적인 장치, 비정상적인 시간대)에 대해 추가 인증을 요구하거나 접근을 차단하도록 설정할 것을 권고함.
• ✔기술적 조치마이크로소프트 365 세션 토큰의 유효 기간을 최소한으로 설정하고, 비활성 세션에 대한 자동 로그아웃 정책을 엄격하게 적용하며, 지속적인 접근 평가(Continuous Access Evaluation) 기능을 활성화하여 세션 하이재킹 위험을 줄일 것을 권고함.
• ✔기술적 조치마이크로소프트 365 Defender for Office 365와 같은 고급 위협 방어 솔루션을 활용하여 피싱 이메일, 악성 첨부파일, 스푸핑 공격에 대한 탐지 및 차단 기능을 고도화하고, 제로 트러스트(Zero Trust) 원칙에 기반한 접근 통제를 강화할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 피싱, 토큰 스프레이, 사회공학 공격의 최신 동향 및 피해 사례에 대한 정기적인 보안 교육 및 모의 훈련을 시행하고, 특히 세션 토큰 탈취의 위험성과 다단계 인증(MFA) 우회 수법에 대한 인식을 제고할 것을 권고함.
• ✔관리적 조치마이크로소프트 365 환경에 대한 보안 감사 로그를 SIEM(Security Information and Event Management) 시스템과 연동하여 비정상적인 로그인, 세션 활동, 이메일 발송 패턴 등을 실시간으로 모니터링하고, 이상 징후 발생 시 즉각적인 대응 절차를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기