신형 피싱 키트, 'Microsoft 365·MFA 우회' 정조준… 한국 공공·기업 이메일 방어 재편 비상

세션 토큰 탈취·프록시 기법으로 다중인증을 무력화… ID 기반 방어 전략 재검토 필요

다수의 신규 피싱 키트가 Microsoft 365 로그인 페이지를 정교하게 위조하고, 프록시를 통해 사용자의 세션 토큰을 탈취함으로써 다중인증(MFA)을 통과한 계정을 재사용하는 방식으로 글로벌 기업 이메일을 노리고 있다.
공격자는 이 피싱 키트로 Exchange Online·SharePoint·Teams에 대한 접근 권한을 획득해 내부 이메일·문서를 탈취하고, 이후 BEC(기업 이메일 사기)·랜섬웨어 침투를 연계하는 등 ID·세션 탈취를 집중적으로 활용하는 공격 체계를 구축하고 있다.
보고된 피싱 인프라는 자동화된 도메인 등록·SMS·이메일 발송 도구를 포함해 ‘피싱-서비스(PhaaS)’ 형태로 운영되고 있으며, 관리자 포털을 통해 공격 캠페인을 손쉽게 조정하는 구조가 MS 365 의존 조직을 대규모로 위협하고 있다.
한국 공공·금융·대기업이 MS 365를 표준 협업·이메일 플랫폼으로 사용하는 만큼, 단순 MFA 도입을 넘어 세션 보호, 조건부 접근, 보안 프록시·브라우저 격리 등 ID 중심 방어 전략을 제도·가이드라인 차원에서 강화해야 한다.
정부 차원에서는 피싱 키트를 악용한 계정 탈취형 공격을 중요 재정·외교 기관에 대한 국가안보 위협으로 규정하고, 클라우드 이메일 보안 가이드라인과 공인 클라우드 사업자 보안 요구사항에 MS 365 피싱 방어 통제를 명시할 필요가 있다.