ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants

핵심 요약

ConnectWise가 공격자에게 애플리케이션 ID를 탈취당해 Microsoft 365 테넌트가 침해되는 사고가 발생하여 클라우드 백업 서비스를 일시 중단했습니다. 공격자는 ConnectWise 애플리케이션 ID에 대한 무단 접근 권한을 획득하여 Microsoft 365 환경에 지속적인 접근(T1098.001 Additional Cloud Credentials)을 시도했을 가능성이 있으며, 이는 서비스 공급망을 통한 클라우드 환경 침해의 전형적인 사례입니다. IT 감사인은 서비스형 소프트웨어(SaaS) 및 클라우드 서비스 공급망 보안 리스크를 평가하고, 서드파티 접근 제어 및 클라우드 환경의 이상 징후 모니터링 체계를 점검해야 하는 중요한 시사점을 얻을 수 있습니다.

개선 권고안

• ✔기술적 조치Microsoft 365 등 클라우드 환경에서 서드파티 애플리케이션의 API 호출, 로그인 시도, 권한 변경 등 비정상적인 활동을 탐지하기 위한 모니터링 시스템을 구축하고, 이상 징후 발생 시 즉각적인 경고 및 대응 절차를 수립 및 시행할 것을 권고함.
• ✔기술적 조치클라우드 백업 서비스의 무결성과 가용성을 보장하기 위해 백업 데이터의 암호화, 접근 통제 강화, 정기적인 복구 테스트 수행 등 보안 통제를 강화할 것을 권고함.
• ✔관리적 조치클라우드 서비스 및 서드파티 솔루션 도입 시 공급망 보안 리스크 평가를 강화하고, 계약서에 보안 요구사항 및 사고 발생 시 책임과 의무를 명확히 명시할 것을 권고함.
• ✔관리적 조치서드파티 애플리케이션 및 서비스에 부여된 접근 권한에 대해 정기적인 검토 및 재인증 절차를 수립하고, 최소 권한 원칙(Least Privilege)에 따라 권한을 관리할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기