BigBear 2.0 PhaaS 캠페인으로 5000개 이상 MS365 자격증명 탈취
BigBear 2.0이 Evilginx2 기반 PhaaS로 MS365 계정 대량 탈취
- CloudSEK는 Evilginx2 기반 ‘BigBear 2.0’ 피싱-as-a-서비스 운영을 식별하고 관리자 패널에 접근해 구조를 분석했다. 공격은 ‘offy’ 피시렛으로 Microsoft 365 로그인 흐름을 가로채 자격증명을 탈취하는 방식이다.
- 관리자 패널 관찰 결과 40개 이상 국가에서 3331개 고유 피해 IP가 확인됐고, Microsoft 365 계정 자격증명 기록 5100개 이상이 유출됐다. IT 서비스·매니지드 서비스 제공업체가 주요 표적 섹터로 드러났다.
- 캠페인 기간 동안 The Constant Company LLC의 Vultr 인프라에서 42개 VPS 노드가 운영됐고, 최소 5개 제휴 공격자가 전용 텔레그램 봇을 통해 탈취 계정 정보를 수신했다. 이는 서비스형 피싱 생태계의 분업 구조를 보여준다.
- CloudSEK 분석에 따르면 IT 서비스 제공자는 Azure AD와 온프레미스 AD, RMM 도구, 패스워드 매니저 등 여러 고객 시스템에 특권 접근을 가진다. 이들의 계정 탈취는 공급망 공격과 다수 하위 고객사 연쇄 침해로 확산될 수 있다.
- 탈취된 Microsoft 365 계정과 인프라 접근 권한은 비즈니스 이메일 침해, 금융 사기, 2차 피싱, 데이터 탈취, 추가 엔터프라이즈 시스템 장악의 기반이 된다. 이는 클라우드 이메일과 ID 시스템을 국가·기업 핵심 인프라 수준으로 관리해야 함을 시사한다.
- 국가 차원에서 IT 서비스·MSP 대상 피싱 방어 기준과 인증 보안 규제를 강화하지 않으면 유사 PhaaS가 국내 공급망을 노려 대량 계정 탈취와 하위 기관 연쇄 침해로 이어질 수 있다. 국내 클라우드·MSP 보안 점검이 시급하다.
MS365·클라우드 인프라를 다루는 국내 IT 서비스·MSP를 ‘핵심 공급망’으로 규정하고, 피싱 대응·다중인증·관리자 계정 보호 의무를 강화하는 규제와 지원 패키지를 병행할 필요가 있다.
주요 용어: 피싱-as-a-서비스(PhaaS)(피싱 공격 도구와 인프라를 서비스 형태로 제공하는 범죄 모델), adversary-in-the-middle(사용자와 서비스 사이 통신을 가로채 자격증명을 탈취하는 공격 방식)
