가짜 Microsoft Entra 패스키 등록 공격, M365 신원 기반 방어 체계를 사회공학으로 우회함
공격자들이 Microsoft Entra ID의 패스키 등록 절차를 위장한 피싱 캠페인으로 M365 계정을 탈취하며, 신원·인증 중심 방어 전략의 인간 요소 취약점을 재확인시키는 사건이 발생함
- The Hacker News는 공격자들이 ‘Fake Microsoft Entra Passkey Enrollment’라는 기법을 사용해, 사용자가 패스키 등록 안내라고 믿게 만든 피싱 페이지를 통해 Microsoft Entra ID와 Microsoft 365 계정 자격 증명을 탈취하는 캠페인을 포착했다고 보도한다. 기사에는 Microsoft Entra, Passkey Enrollment, M365 Access라는 키워드가 동시에 등장하며, 비밀번호 없는 인증과 FIDO2 기반 패스키 도입을 통해 보안을 강화하려는 전략이 사회공학·피싱을 통해 우회될 수 있음을 구체적으로 보여준다.
- 공격 시나리오에서 피싱 이메일은 Microsoft 365 관리 알림처럼 위장되어, 사용자가 링크를 클릭하면 Entra ID 로그인·패스키 등록을 가장한 페이지로 유도된다. 사용자가 자격 증명과 MFA 코드를 입력하면 공격자는 이를 실시간으로 중계해 실제 Microsoft Entra 포털에 로그인하고, 이후 패스키나 새로운 인증 수단을 자신이 통제하는 기기로 등록해 계정을 장기적으로 장악한다. 이 과정에서 The Hacker News, Microsoft Entra, M365가 함께 언급되며, 기존 MFA·비밀번호 없는 인증 기술도 사회공학 공격 체인에 포함될 수 있음을 강조한다.
- 기사에서 언급된 수치와 동향에 따르면, 이러한 피싱 캠페인은 여러 기업에서 수십 개 이상의 계정 탈취 사례를 발생시켰으며, 특히 M365 환경에서 메일·OneDrive·SharePoint·Teams에 대한 접근 권한을 악용해 내부 문서 유출·랜섬웨어 배포·BEC(기업 이메일 사기)를 연달아 수행하는 공격이 발견되었다. The Hacker News는 Microsoft Entra ID, FIDO2 Passkey, MFA를 언급하며, 사용자가 인증 요청의 진위 여부를 검증하는 절차가 기술적 보호와 동일한 비중을 가져야 한다고 지적한다.
- 전략적 관점에서 이 사건은 한국 정부·기업이 추진하는 ‘패스워드리스·MFA 확산 정책’이 사회공학 방어 대책과 결합되지 않을 경우, 인증 기술 도입만으로는 계정 탈취를 막을 수 없다는 교훈을 제공한다. 한국은 정부통합전산센터, 공공 클라우드, 금융권에서 Microsoft 365·Azure·Entra ID를 광범위하게 사용하고 있어, 패스키 도입 시 사용자 교육·피싱 경고·도메인 검증·클라이언트 인증서 등 정책적 보완책을 동시 추진해야 하며, 국내 보안 기업은 M365 환경에서 피싱 탐지·브랜드 도메인 보호·사용자 행위 기반 위협 탐지 서비스를 강화할 기회를 맞고 있다.
Microsoft Entra 패스키 등록을 위장한 피싱 캠페인은 인증 기술만으론 사회공학을 막을 수 없다는 점을 재확인시키며, 한국 정부는 공공·금융 부문의 M365·Entra 도입과 함께 ‘사용자 교육·도메인 검증·피싱 탐지’를 결합한 신원 보호 정책을 필수로 설계해야 한다.
주요 용어: 패스키(FIDO2 기반으로 기기·생체정보를 활용해 비밀번호 없이 로그인하는 인증 방식), MFA(두 개 이상 인증 요소를 요구하는 다중 요소 인증), BEC(기업 이메일을 악용해 결제·송금 요청을 조작하는 사기 공격)
출처: The Hacker News
