Azure CLI 비밀번호 분사 공격, 8천만 회 시도로 78개 계정 노리며 클라우드 관리면 취약성 드러냄

Azure CLI 인증 토큰을 노린 대규모 비밀번호 분사(password spray) 공격이 최소 78개 Microsoft 계정을 표적하며, 클라우드 관리 도구를 통한 국가·기업 인프라 간접 장악 가능성을 보여줘 정책적 경종을 울림

The Hacker News는 공격자가 Azure CLI를 악용해 8,100만 회 이상 비밀번호 분사 시도를 수행하며, Microsoft 계정 78개 이상을 노린 사건을 상세히 보도하고 있으며, 이 공격은 Azure 환경에서 서비스 주체와 관리 계정에 대한 인증을 반복적으로 시도해 계정 잠금을 회피하는 방식으로 설계되어 있었고, 성공 시 Azure 리소스 구성 변경·스토리지 접근·VM 관리 등 클라우드 인프라 통제권을 확보할 수 있는 구조였다.
기사에 따르면 공격자는 대량으로 수집된 재사용 비밀번호 목록을 기반으로 Microsoft Entra ID와 Azure AD 계정을 대상으로 Azure CLI를 통해 인증을 시도했고, 단일 계정을 집중적으로 노리는 브루트포스 대신 다수 계정에 소량의 시도를 분산하는 password spray 기법을 활용하여 계정 잠금 정책을 회피했으며, 이 과정에서 일부 계정에서 비정상 로그인 시도가 감지되어 Microsoft가 공격 경로를 차단하고, 비밀번호 재설정과 다중요소 인증(MFA) 강화 조치를 취하게 되었다.
정량 데이터 측면에서 보도는 81M+ 회의 로그인 시도와 최소 78개 계정이 대상이 된 사실을 강조하며, Microsoft 내부 모니터링 시스템이 이 비정상 패턴을 탐지하는 데 시간이 소요되었다는 점을 지적하고, 일부 고객 계정에서 의심스러운 활동이 포착되었으나 대규모 계정 탈취로 이어지지는 않았다고 설명함으로써, 방어 체계가 최악의 상황은 막았지만 공격자의 자원과 의지가 매우 컸음을 보여준다.
전략적·정책적 관점에서 이 사건은 국가 배후 해킹 그룹이나 랜섬웨어 조직이 더 이상 개별 웹 서비스가 아닌 Azure와 같은 클라우드 관리면을 공격해, 여러 정부·기업 시스템을 동시에 장악할 수 있는 잠재력을 보여주며, 특히 Azure CLI·AWS CLI·Google Cloud SDK 등 관리 도구에 대한 계정 보호가 사실상 국가 기반 시설 보호와 직결된다는 점을 부각시킨다. Microsoft는 이후 Entra ID 보안 정책, 비밀번호 정책, 관리 계정 보호 가이드를 업데이트하며 고객에게 관리자 계정에 대한 조건부 접근, IP 제한, MFA 의무화를 권고했다.
한국 정책 담당자에게 이 사건은 국내 공공 클라우드·정부통합전산센터·지자체 클라우드에서 사용하는 관리 도구 계정 보호가 얼마나 중요한지를 보여주는 사례로, Azure·AWS·국산 클라우드 관리 계정에 대한 ‘password spray 방어 기준’을 명문화하고, 다중요소 인증·관리자 계정 분리·클라이언트 도구 사용 로그 모니터링을 법·제도 차원에서 의무화하는 정책 설계가 필요하다. 또한 CrowdStrike·Palo Alto Networks·Zscaler 등 글로벌 보안 플랫폼과 연계하여 클라우드 관리면에 대한 위협 인텔리전스 공유 체계를 구축하는 것이 국가 인프라 안전성 확보의 핵심이 될 수 있다.
향후 한국은 Azure CLI 공격 경험을 참고해 공공·민간 클라우드 조달 시 관리면 보호 요구사항을 표준화하고, 비밀번호 분사 공격과 같은 대량 인증 시도 탐지 기능을 국내 SIEM·SOAR 플랫폼에 의무적으로 포함시키는 등, 클라우드 운영 단계에서의 공격 표면을 줄이기 위한 정책적·기술적 조치를 병행해야 한다.

Azure CLI 공격은 클라우드 관리 도구가 국가 인프라의 ‘원격 제어 패널’이라는 사실을 상기시키며, 한국은 관리자 계정 보호를 별도의 규제 항목으로 격상할 필요가 있다.

주요 용어: password spray(다수 계정에 소량의 비밀번호 시도를 분산해 계정 잠금 정책을 피하는 공격 기법), Azure CLI(Microsoft Azure 리소스를 명령줄에서 관리하는 도구), Entra ID(Azure AD를 계승한 Microsoft의 클라우드 디렉터리·인증 서비스)

출처: The Hacker News