마이크로소프트, 이메일 1만2,000건 탈취한 ‘EvilTokens’ 차단

마이크로소프트, 이메일 1만2,000건 탈취한 ‘EvilTokens’ 피싱 서비스 차단

• 마이크로소프트는 2026년 9월 22일 미국 버지니아 동부지방법원 승인으로 ‘EvilTokens’를 차단했다. Health-ISAC·Cloudflare·Coinbase·OpenAI 등이 공조했다.
• Storm-2992가 개발·지원한 EvilTokens는 OAuth 2.0 디바이스 인증 흐름을 악용했다. 피해자가 정상 로그인 페이지에 코드를 입력하면 공격자에게 인증 토큰이 발급됐다.
• AI 챗봇은 탈취한 받은편지함에서 신뢰 관계·결제 승인·재무 담당자를 찾아냈다. 이어 신뢰받는 연락처를 사칭한 사기 메시지 작성까지 지원했다.
• 마이크로소프트는 1만2,000개 이상 사서함과 1만개 이상 조직의 피해를 확인했다. Coinbase는 2025년 10월부터 2026년 6월까지 수익 약 110만 달러와 700개 이상 주소의 1,000건 이상 입금을 추적했다.
• EvilTokens는 2026년 2월 중순 텔레그램에서 서비스형 피싱으로 판매됐다. 이용자는 초기 1,500달러와 월 500달러로 토큰 관리·피싱 페이지·AI 기반 업무메일 사기 기능을 이용했다.
• 정상 클라우드와 로그인 절차를 악용한 저가형 자동화가 이메일 사기의 진입장벽을 낮췄다. 한국은 디바이스 인증 제한, 토큰·메일 규칙 점검, 금융기관 공동 대응을 조달 기준에 반영해야 한다.

정부는 비밀번호 중심 점검을 넘어 디바이스 코드 인증을 통제하고, 이상 토큰·받은편지함 규칙·송금 메일을 연계 탐지해야 한다. 국내 보안기업에는 토큰 무효화와 업무메일 사기 분석 기술 실증을 지원할 필요가 있다.

주요 용어: 디바이스 코드 피싱(사용자가 정상 로그인 화면에 공격자 코드를 입력하게 해 인증을 넘기는 수법), 서비스형 피싱(공격 도구를 구독·임대하는 범죄 모델)

출처: The Hacker News