2026년 2월 19일부터 미국, 캐나다, 호주, 뉴질랜드, 독일의 340개 이상 마이크로소프트 365 조직을 겨냥한 피싱 캠페인이 활동 중이며, 신규 사례가 가속화되고 있습니다. 4월 6일, 마이크로소프트 보안 블로그에서 생성형 AI와 완전 자동화를 활용해 업무용 이메일 계정을 대규모로 침해하는 작전에 대한 상세 분석을 발표했습니다. 이전 디바이스 코드 공격이 절대 도달하지 못한 규모의 침해가 발생하고 있습니다. 일일 이메일 운영을 마이크로소프트 365에 의존하는 마케팅 및 성장 팀에게는 직접적인 위협입니다. 탈취된 토큰은 이메일 유출과 지속성 확보에 사용되며, 종종 통신을 리디렉션하거나 숨기는 악성 받은편지함 규칙을 통해 악용됩니다.
이 공격이 특별한 이유
디바이스 코드 인증(Device Code Authentication)은 스마트 TV나 프린터 같이 입력 인터페이스가 제한된 디바이스를 위해 설계된 정상적인 OAuth 흐름입니다. 이 방식에서 사용자는 짧은 코드를 받고, 별도 디바이스의 브라우저에서 이를 입력하여 인증을 완료하도록 지시받습니다. 위협 행위자들은 이러한 특성을 악용해 인증을 원래 세션과 분리함으로써 전통적인 MFA 보호를 우회합니다.
2026년 캠페인을 이전 시도와 구분짓는 것은 AI 계층입니다. 이 캠페인은 정적인 수동 스크립트에서 벗어나 다양한 자동화 기능이 포함된 AI 기반 인프라로 이동합니다. 핵심 기술 혁신은 동적 코드 생성입니다. 이전의 정적 피싱 시도에서 위협 행위자는 이메일에 사전 생성된 코드를 포함시켰고, 이는 성공의 좁은 시간 창을 만들었습니다. 대상 사용자는 이메일을 열고, 리디렉션을 거치고, 표준 15분 타이머가 지나기 전에 모두 인증을 완료해야 했습니다. 사용자가 이메일을 전송 후 20분이 지난 후에 열었다면, 공격은 자동으로 실패했을 것입니다.
동적 코드 생성은 사용자가 피싱 링크와 상호작용하는 정확한 순간에 코드 생성을 트리거하여 15분 만료 창을 우회하고, 인증 흐름이 유효한 상태로 유지되도록 합니다. 피해자가 마이크로소프트의 정상 로그인 페이지에서 코드를 입력하면, 공격자의 세션이 사용자의 권한을 상속받아 MFA를 우회하고 지속적인 접근을 확보합니다.
캠페인 규모와 속도
수치는 충격적입니다. 마이크로소프트 보안 연구 VP 탄마이 가나차리야는 더 레지스터에 "2026년 3월 15일 이후, 우리는 매 24시간마다 10~15개의 서로 다른 캠페인이 시작되는 것을 관찰했습니다"라고 말했습니다. "각 캠페인은 대규모로 배포되며, 수백 개 조직을 매우 다양하고 고유한 페이로드로 겨냥하고 있어, 패턴 기반 탐지를 더욱 어렵게 만듭니다."
건설, 비영리단체, 부동산, 제조, 금융 서비스, 의료, 법률, 정부 등 주요 산업이 공격 대상입니다. 어떤 분야도 예외가 아닙니다. 캠페인을 뒷받침하는 도구인 EvilTokens는 2026년 2월 중순부터 Phishing-as-a-Service 킷으로 판매되고 있으며, 구매자들이 MFA를 우회하고 조직의 마이크로소프트 365 애플리케이션에 피해자로 인증할 수 있게 합니다.
프랑스 사이버보안 회사 세코이아에 따르면, "EvilTokens는 턴키식 마이크로소프트 디바이스 코드 피싱 킷과 BEC 공격 수행을 위한 다양한 고급 기능을 제공합니다. 여기에는 접근 무기화, 이메일 수집, 정찰 기능, 내장 웹메일 인터페이스, AI 기반 자동화가 포함됩니다."
공격자들이 재무 및 경영진 계정을 겨냥하는 방법
캠페인은 침해된 모든 계정을 동등하게 취급하지 않습니다. 정찰 단계는 일반적으로 실제 피싱 시도가 시작되기 10~15일 전에 발생합니다. 그 후 공격자는 AI를 사용해 대상자의 역할에 맞춘 초개인화 피싱 이메일을 생성하며, 제안 요청, 청구서, 제조 워크플로우 같은 주제를 활용합니다.
자동화된 URL 스캐너와 샌드박스를 회피하기 위해, 위협 행위자들은 최종 피싱 사이트로 직접 링크하지 않습니다. 대신, 침해당한 정상 도메인과 고평판 서버리스 플랫폼을 통한 일련의 리디렉션을 사용합니다. 마이크로소프트는 Vercel, Cloudflare Workers, AWS Lambda를 사용하여 리디렉션 로직을 호스팅하는 데 크게 의존하는 것을 관찰했습니다. 이러한 도메인을 사용하면, 피싱 트래픽이 정상 엔터프라이즈 클라우드 트래픽과 뒤섞여 단순 도메인 차단 목록 트리거를 방지합니다.
초기 침해 후, 일부 경우 침입자는 10분 내에 새로운 디바이스를 등록하여 장기적 지속성을 위한 주 새로고침 토큰을 생성했습니다. 다른 경우, 민감한 이메일 데이터를 탈취하거나 받은편지함 규칙을 생성하기 전에 몇 시간을 기다렸습니다(예: 제목에 "급여" 또는 "청구서"가 포함된 메시지 전달).
침해 후 활동은 재무 관련 인사를 일관되게 집중하고 있으며, 가나차리야가 확인한 대로 이러한 계정에서 자동화된 이메일 유출이 관찰됩니다.
표준 MFA가 이를 막지 못하는 이유
이 부분이 대부분 팀들을 놀라게 합니다. 이 공격은 피해자들이 가짜 사이트에 자격 증명을 입력하도록 요구하지 않고 마이크로소프트 365 접근 토큰을 수집하므로, 인증 상호작용이 정상적인 로그인과 구분되지 않습니다. 다중 인증은 보호를 제공하지 않습니다. 피해자가 공격자를 대신하여 MFA 챌린지를 직접 완료하고, 결과 새로고침 토큰은 암호 재설정 후에도 지속되어 복구를 복잡하게 합니다.
기존 자격 증명 수집과 달리, 이 기술은 피해자들을 정상 마이크로소프트 인증 페이지를 통해 라우팅하여 보안 운영 센터가 실시간으로 침해를 포착하기 훨씬 어렵게 만듭니다.
이 공격은 마이크로소프트가 2025년 2월에 문서화한 Storm-2372 캠페인에서 직접 확대됩니다. 이는 메시징 앱과 팀 초대를 통한 수동 사회 공학에 의존했습니다. 2026년 캠페인은 정찰, 미끼 생성, 인프라 구축, 악용 전반에 걸쳐 산업화된 자동화와 AI 통합으로 전환합니다.
조직이 지금 할 수 있는 것
피싱 저항 MFA 방법, 특히 FIDO2 하드웨어 키와 인증서 기반 인증은 인증을 물리 디바이스에 바인딩하므로 이 공격을 차단합니다. 표준 TOTP 코드와 푸시 알림은 그렇지 않습니다.
마이크로소프트 보안 블로그와 독립 분석가들은 세 가지 우선 조치를 권장합니다:
- 마이크로소프트 엔트라 ID에서 디바이스 코드 흐름 제한하세요. 조건부 액세스 정책은 정상적인 비즈니스 필요가 없는 사용자에 대해 디바이스 코드 인증 흐름을 차단할 수 있습니다.
- 침해 후 받은편지함 규칙 생성을 모니터링하세요. 마이크로소프트 디펜더 XDR과 엔트라 ID 보호는 이제 비정상적인 디바이스 코드 인증에 대한 탐지를 포함합니다. 침해 후 의심스러운 로그인 및 받은편지함 규칙 생성과 그래프 API 정찰이 결합된 경우를 포함합니다.
- 재무 및 경영진 팀을 대상으로 특별히 교육하세요. 실제 워크플로우, 실제 직함, 신뢰할 수 있는 비즈니스 맥락을 참조하는 역할별 미끼는 일반적인 피싱과는 근본적으로 다른 범주의 위협입니다. 표준 인식 교육만으로는 충분하지 않습니다.
마이크로소프트 365를 이메일 백본으로 운영하는 조직의 경우, 침해된 받은편지함의 운영 영향은 데이터 손실을 훨씬 넘습니다. 손상된 발신 기록, 조작된 전달 규칙, 탈취된 청구 스레드는 발신자 평판과 전달성을 수개월간 손상시킬 수 있습니다. 이메일 보안을 콘텐츠 필터링 문제가 아닌 신원 문제로 취급하는 것이 이제 비즈니스 핵심 요구사항입니다.
