미국 기업 노린 ‘Kali365’ 마이크로소프트 인증 탈취…K-클라우드 신뢰 재편 분기점

마이크로소프트 계정 탈취를 노리는 ‘Kali365’ 등장…미국發 클라우드 신뢰위기와 K-보안 기회 동시 부상

• 보안업체들이 미국 기업을 노리는 APT형 위협그룹 ‘Kali365’를 포착했으며, 이들은 합법적처럼 보이는 OAuth 애플리케이션을 악용해 마이크로소프트 계정에 상시 접근권을 확보하는 공격을 전개한 것으로 분석된다.
• Kali365는 피싱 메일과 위조 로그인 페이지로 사용자를 속인 뒤, 사용자가 직접 악성 OAuth 앱에 권한을 부여하도록 유도해 MFA를 회피하고 Exchange Online, OneDrive 등 M365 데이터에 장기적으로 접근하는 ‘아이덴티티 하이재킹’ 전술을 구사한다.
• 공격자는 마이크로소프트 정식 인증처럼 보이는 애플리케이션 등록과 전자서명, 표준 프로토콜(예: OAuth 2.0, OpenID Connect)을 활용해 기업 보안게이트웨이 탐지를 우회하고, 계정 비밀번호를 변경하지 않아도 메일 읽기·전송, 파일 탈취, 내부 계정 가장 등의 행위를 지속하는 것으로 보고된다.
• 사고 조사 결과 다수 미국 엔터프라이즈 테넌트에서 동일한 악성 앱 식별, 수천 개 이상의 계정 권한 위임, 수십 테라바이트에 달하는 이메일·클라우드 파일 유출 시도가 기술됐으며, 마이크로소프트는 관련 앱 등록 취소 및 테넌트 관리자 경보 기능 강화를 발표했다.
• 이번 사례는 SaaS 기반 업무환경과 계정 연동 생태계 확대가 곧 국가 기간산업의 공급망 취약점으로 전환되는 전형으로, 한국 공공·금융의 M365·Azure 의존도가 높아질수록 ‘아이덴티티·애플리케이션 보안’ 규제와 국산 모니터링·위협인텔 시장을 조기에 구조화할 필요가 크다.
• 미국에서 마이크로소프트 인증 체인을 노린 지속 공격이 공론화되면서 글로벌 클라우드 사업자의 책임강화와 제로트러스트 규제가 확산될 가능성이 높고, 이는 한국이 국산 ID보안·클라우드 위협헌팅 기술을 전략산업으로 지정해 ‘K-제로트러스트 레퍼런스 모델’을 수출하는 계기가 될 수 있다.

정부는 공공·금융의 M365 사용현황과 서드파티 OAuth 앱 실태를 긴급 점검하고, ‘ID·앱 권한 보안’을 별도 규제·예산 축으로 분리해 국산 아이덴티티 보안 솔루션 시범사업과 제로트러스트 전환 로드맵을 동시 추진할 것을 권고한다.

주요 용어: OAuth(외부 애플리케이션이 비밀번호 없이 계정 권한을 위임받게 하는 인터넷 인증 표준), 제로트러스트(내부·외부를 구분하지 않고 모든 사용자와 기기·앱을 지속 검증하는 보안 운영 원칙)

출처: The Hacker News