Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants

핵심 요약

알 수 없는 위협 행위자들이 ConnectWise Cloud Backup(이전 SkyKick)의 손상된 Microsoft 365 자격 증명을 악용하여 173개 고객사의 M365 테넌트에 무단 접근하는 활성 캠페인이 확인되었습니다. 공격자들은 유효한 계정(Valid Accounts)을 사용하여 클라우드 서비스에 접근하는 T1021.007 Cloud Services 전술을 활용했으며, 이는 공급망을 통한 초기 침투(Initial Access)로 이어질 수 있습니다. IT 감사인은 MSP를 통한 클라우드 서비스 이용 시 공급망 보안 리스크를 평가하고, 클라우드 환경의 자격 증명 관리 및 접근 통제 정책의 적정성을 즉시 점검해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치Microsoft 365 환경에 대한 모든 관리자 및 서비스 계정에 대해 다단계 인증(MFA)을 의무화하고, 조건부 접근 정책을 적용하여 비정상적인 접근을 차단할 것을 권고함.
• ✔기술적 조치Microsoft 365 감사 로그 및 Azure AD 로그인 로그를 SIEM(Security Information and Event Management) 시스템과 연동하여 비정상적인 로그인 시도, 자격 증명 오용, 권한 변경 등의 이벤트를 실시간으로 모니터링하고, 탐지 규칙을 고도화할 것을 권고함.
• ✔관리적 조치MSP(Managed Service Provider)와의 계약 시 보안 책임 및 의무를 명확히 하고, MSP가 사용하는 모든 계정에 대한 최소 권한 원칙을 적용하며, 정기적인 보안 감사 및 취약점 점검을 계약서에 명시하고 이행 여부를 감독할 것을 권고함.
• ✔관리적 조치클라우드 백업 서비스 제공업체에 대한 보안 통제 현황(예: SOC 2 Type II 보고서)을 정기적으로 검토하고, 해당 서비스의 M365 접근 권한 및 자격 증명 관리 절차의 적정성을 평가할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기