미국 기업 노린 'Kali365' 마이크로소프트 인증 탈취…K-클라우드 신뢰 재편 분기점

마이크로소프트 계정 탈취를 노리는 ‘Kali365’ 등장…미국發 클라우드 신뢰위기와 K-보안 기회 동시 부상

보안업체들이 미국 기업을 노리는 APT형 위협그룹 ‘Kali365’를 포착했으며, 이들은 합법적처럼 보이는 OAuth 애플리케이션을 악용해 마이크로소프트 계정에 상시 접근권을 확보하는 공격을 전개한 것으로 분석된다.
Kali365는 피싱 메일과 위조 로그인 페이지로 사용자를 속인 뒤, 사용자가 직접 악성 OAuth 앱에 권한을 부여하도록 유도해 MFA를 회피하고 Exchange Online, OneDrive 등 M365 데이터에 장기적으로 접근하는 ‘아이덴티티 하이재킹’ 전술을 구사한다.
공격자는 마이크로소프트 정식 인증처럼 보이는 애플리케이션 등록과 전자서명, 표준 프로토콜(예: OAuth 2.0, OpenID Connect)을 활용해 기업 보안게이트웨이 탐지를 우회하고, 계정 비밀번호를 변경하지 않아도 메일 읽기·전송, 파일 탈취, 내부 계정 가장 등의 행위를 지속하는 것으로 보고된다.
사고 조사 결과 다수 미국 엔터프라이즈 테넌트에서 동일한 악성 앱 식별, 수천 개 이상의 계정 권한 위임, 수십 테라바이트에 달하는 이메일·클라우드 파일 유출 시도가 기술됐으며, 마이크로소프트는 관련 앱 등록 취소 및 테넌트 관리자 경보 기능 강화를 발표했다.
이번 사례는 SaaS 기반 업무환경과 계정 연동 생태계 확대가 곧 국가 기간산업의 공급망 취약점으로 전환되는 전형으로, 한국 공공·금융의 M365·Azure 의존도가 높아질수록 ‘아이덴티티·애플리케이션 보안’ 규제와 국산 모니터링·위협인텔 시장을 조기에 구조화할 필요가 크다.
미국에서 마이크로소프트 인증 체인을 노린 지속 공격이 공론화되면서 글로벌 클라우드 사업자의 책임강화와 제로트러스트 규제가 확산될 가능성이 높고, 이는 한국이 국산 ID보안·클라우드 위협헌팅 기술을 전략산업으로 지정해 ‘K-제로트러스트 레퍼런스 모델’을 수출하는 계기가 될 수 있다.