마이크로소프트 보안 연구진에 따르면 중국 정부와 연계된 해커들이 커넥트와이즈의 클라우드 백업 서비스에 침입해, 해당 서비스를 고객 시스템에 연결하는 데 쓰이는 인증 정보를 훔쳤습니다. 이 인증 정보가 있으면 공격자들이 승인된 사용자로 고객사의 마이크로소프트 호스팅 환경에 들어가 이메일과 다른 파일에 접근할 수 있습니다.
마이크로소프트는 해커들이 AI 에이전트를 동원해 약 2,250개 조직을 상대로 분당 거의 3,000회 로그인 시도를 했다고 밝혔습니다. 이 수치는 로그인 시도 횟수를 뜻하며, 실제로 성공한 시도가 몇 건인지 또는 어떤 조직이 영향을 받았는지는 원문에 나와 있지 않습니다.
침해는 어떻게 이뤄졌나
도난당한 애플리케이션 인증 정보는 커넥트와이즈의 백업 서비스와 기업 고객 계정을 연결합니다. 공격자들은 고객사의 마이크로소프트 환경에 들어간 뒤 커넥트와이즈에 보관된 백업에만 접근하는 것이 아니라, 그 환경의 데이터에도 접근할 수 있었습니다.
마이크로소프트는 이번 공격의 빠른 속도가 ARTEX 때문이라고 설명했습니다. ARTEX는 AI 모델과 함께 작동해 사이버 방어를 시험하도록 설계된 오픈소스 AI 프레임워크입니다. 원문에 따르면 같은 소프트웨어가 최근 한국 금융 시스템 침해에도 사용됐으며, 당시 많은 조직의 보안이 취약했고 다중 인증도 적용되지 않은 것으로 전해졌습니다. 다만 ARTEX가 두 사건에서 어떻게 사용됐는지에 관한 기술적 세부 정보는 제시하지 않았습니다.
커넥트와이즈의 대응
커넥트와이즈는 클라우드 백업 시스템에 대한 접근을 일시 중단하고 침해를 조사하고 있다고 밝혔습니다. 회사는 10월 22일 서비스 복구 작업을 진행 중이라고 밝혔습니다. 원문에는 영향을 받은 고객의 이름이나 실제로 접근당한 계정 수, 공격자가 확보한 데이터의 종류가 나와 있지 않습니다.
마이크로소프트의 설명은 도난당한 인증 정보가 서비스 제공업체 침해를 고객사 자체 시스템으로 이어지는 통로로 만들 수 있음을 보여줍니다. 그러나 보고된 로그인 시도 속도만으로 공격 대상이 된 모든 조직이 침해당했다고 볼 수는 없습니다.
왜 중요한가
마이크로소프트 호스팅 계정을 커넥트와이즈 백업 서비스에 연결한 기업은 인증 정보가 도난당할 경우 백업 시스템을 넘어 이메일과 다른 파일까지 노출될 수 있습니다. 원문은 영향을 받은 고객을 밝히거나 실제로 데이터에 접근당한 조직 수를 확인하지 않아, 피해 범위는 여전히 불분명합니다.
