"다단계 인증(MFA)만 켜 두면 메일 계정은 안전하다"는 믿음이 흔들리고 있습니다. 보안기업 Huntress는 10월 22일 보고서에서 2026년 7~9월 79개 조직의 Microsoft 365 계정이 침해된 공격을 공개했습니다. 공격자는 비밀번호를 맞히지 않았습니다. 사용자가 MFA까지 마친 뒤 발급되는 '세션 토큰'을 가로채 그대로 재사용했습니다. Help Net Security는 이 토큰이 MFA 이후에 만들어지므로 "들고 있는 사람은 MFA 없이 쓸 수 있다"고 설명합니다. 클라우드 메일을 쓰는 한국 중소기업에도 그대로 해당되는 이야기입니다.
토큰은 어떻게 빠져나갔나
하나는 진짜 Microsoft 로그인 화면을 중간에서 중계하는 가짜 페이지(AiTM)입니다. 사용자는 평소처럼 비밀번호와 MFA를 입력하지만, 발급된 세션은 공격자 서버에 남습니다. 다른 하나는 '기기 코드 피싱'으로, 메일로 받은 코드를 Microsoft 정식 로그인 페이지에 입력하게 유도하면 그 세션이 공격자에게 발급됩니다. 한 사례에서는 MFA 입력 뒤 4분 만에 공격자 로그인이 확인됐습니다.
들어온 뒤에 한 일
19개 조직에서는 첫 로그인 후 3시간 안에 기존 MFA 수단이 지워지고 공격자의 인증 앱이 새로 등록됐습니다. 이러면 비밀번호를 바꿔도 공격자는 계속 들어옵니다. 'DESKTOP-'으로 시작하는 가짜 PC 48대가 디렉터리에 등록됐고, 받은편지함에는 '.', 'sss', 'iT' 같은 이름의 규칙이 만들어져 급여·계좌 관련 메일을 몰래 숨겼습니다.
지금 확인할 네 가지
- MFA 등록 수단: 전 직원의 인증 방법 목록에서 본인이 모르는 인증 앱·전화번호가 없는지 확인합니다.
- 등록된 기기: Entra ID 기기 목록에서 낯선 이름의 PC를 찾습니다. 기기는 누가 지우기 전까지 남습니다.
- 받은편지함 규칙: 이름이 점 하나이거나 의미 없는 글자인 규칙, 메일을 RSS 피드·대화 기록 폴더로 옮기는 규칙을 찾습니다.
- 조건부 액세스: 회사 밖 IP나 미등록 기기의 로그인을 차단하는 정책을 켭니다. 네 조직은 이 정책만으로 1,052번의 로그인을 막았습니다. 기기 코드 로그인은 꼭 필요하지 않다면 끕니다.
자주 묻는 질문
Q. 당했다면 비밀번호만 바꾸면 되나요?
아닙니다. 세션 전체 로그아웃(토큰 해지), 공격자가 추가한 MFA 수단·기기 삭제, 받은편지함 규칙 정리를 함께 해야 합니다.
Q. 인증 앱을 쓰면 안전한가요?
이번 수법은 인증 방식과 무관하게 로그인 완료 후의 세션을 노립니다. 피싱에 내성이 있는 방식은 패스키(FIDO2)이고, 그 전까지는 조건부 액세스로 로그인 위치·기기를 제한하는 것이 현실적입니다.
Q. 직원에게 무엇을 알려야 하나요?
"누가 보내준 코드를 Microsoft 로그인 페이지에 입력하지 않는다", "로그인 화면이 진짜 같아도 주소를 확인한다" 두 가지입니다.
페스트페이스의 시각
저희는 이번 사례에서 침입 자체보다 침입 뒤 조용히 자리 잡는 과정을 눈여겨봅니다. MFA 변경과 받은편지함 규칙은 로그에 남지만, 전담 인력이 없는 회사에서는 아무도 보지 않는 경우가 많습니다. 저희 MailInsight는 메일을 장기 보관하면서 평소와 다른 메일 흐름의 징후를 짚어 주는 데 초점을 두며, 네트워크 유지보수 고객사에는 클라우드 메일 계정 점검을 정기 항목에 넣기를 권합니다.
