마이크로소프트 365 토큰 노출…계정 장악 위험이 다시 커졌다

Microsoft 365 Android 앱의 디버그 플래그가 남아 있어 외부 앱이 계정 토큰을 탈취할 수 있다는 지적이 나오며, 클라우드 계정 보안의 기본 전제가 흔들리고 있다.

• The Hacker News는 Microsoft 365 Android Apps가 leftover debug flag 때문에 any app에게 account tokens를 노출할 수 있다고 보도했다. Microsoft 365, Android Apps, account tokens라는 조합은 단말의 작은 설정 오류가 대규모 계정 침해로 이어질 수 있음을 보여주며, 기업용 SaaS가 모바일 클라이언트 품질에 강하게 의존함을 드러낸다.
• 핵심 메커니즘은 디버그용 플래그가 제거되지 않아 다른 앱이 인증 토큰에 접근할 수 있는 경로가 생긴다는 점이다. 토큰은 로그인 절차를 반복하지 않고도 서비스 접근을 허용하는 열쇠이므로, 한 번 유출되면 메일, 문서, 협업 데이터에 광범위한 접근이 가능해진다.
• 이 문제는 Microsoft 365 계정 자체의 취약점이라기보다 클라이언트 구현 실수의 문제라는 점에서 더 넓은 의미가 있다. 클라우드 서비스의 보안은 서버가 아니라 단말 애플리케이션의 품질에도 좌우되며, 공공기관이 모바일 접속을 확대할수록 이러한 실수의 파급 범위는 더 커진다.
• 정책적으로는 한국 정부가 정부메일, 협업도구, 문서공유 서비스의 모바일 사용을 재평가해야 한다. 단순 MFA 도입만으로는 부족하며, 앱 서명 검증, 토큰 저장 방식, 모바일 기기 관리, 외부 앱 차단 정책까지 포함한 종합 통제가 필요하다.
• 기업 전략 측면에서는 M365처럼 시장지배적 플랫폼이라도 모바일 구현 결함 하나로 신뢰가 흔들릴 수 있음을 보여준다. 이는 국내 협업·클라우드 보안 기업에 모바일 자격증명 보호, 앱 무결성 점검, 계정 위험 탐지 시장의 기회를 만든다.

한국은 공공부문 M365 모바일 사용을 편의성 기준이 아니라 계정 유출 위험 기준으로 재설계해야 한다. 인증 토큰 보호가 무너지면 다중인증도 우회될 수 있으므로, 앱 단위 통제가 우선이다.

주요 용어: 토큰(재인증 없이 접근을 허용하는 전자 열쇠), 디버그 플래그(개발 중 점검용 설정값), 모바일 기기 관리(MDM, 단말 정책을 중앙에서 통제하는 체계)

출처: The Hacker News