Microsoft, 12,000개 이상의 메일함을 노린 EvilTokens 피싱 서비스 차단

Microsoft는 2026년 9월 22일, 법집행기관 및 업계 파트너와의 공동 작전을 통해 EvilTokens라는 피싱‑as‑a‑service(PhaaS) 인프라를 해체했으며, 해당 서비스는 같은 해 2월부터 활동해 왔다고 밝혔습니다.

EvilTokens가 Microsoft 인증 흐름을 어떻게 악용했는가

EvilTokens는 OAuth 2.0 디바이스 코드 흐름을 이용했는데, 이는 브라우저 없이도 기기에서 사용자가 인증할 수 있게 해 주는 정식 메커니즘입니다. 피해자는 정품 Microsoft 로그인 페이지로 리다이렉트돼 짧은 코드를 입력하고, 비밀번호를 입력하지 않은 채 공격자에게 액세스 토큰을 부여하게 됩니다.

이 토큰은 Microsoft 자체 인증 서버에서 발급되었기 때문에 기존 비밀번호 기반 탐지 시스템으로는 이상 징후를 포착하기 어려웠습니다. 토큰은 공격자에게 사서함에 대한 읽기·쓰기 권한을 부여해 대규모 데이터 유출 및 추가 사칭을 가능하게 했습니다.

AI 기반 정찰 및 표적 지정

EvilTokens는 맞춤형 AI 모델을 탑재해 침해된 사서함을 자동으로 스캔하고, 내부 관계망을 매핑하며, 청구서와 송금 정보 같은 고가치 데이터를 식별했습니다. 이후 AI가 맞춤형 스피어 피싱 메일을 생성해 2차 피해자를 노렸으며, 이로 인해 후속 공격 성공률이 크게 상승했습니다.

이 서비스는 텔레그램에서 광고되었으며, 가입비 1,500달러와 월 구독료 500달러가 부과되었습니다. 대량 자격 증명 수집, 자동 청구서 위조 등 추가 모듈은 별도 판매돼 AI 도구 개발 자금으로 활용되었습니다.

• 정당한 상황이 아닌 경우 OAuth 디바이스 코드 흐름 차단
• 토큰 발급 및 사서함 이상 활동을 지속적으로 모니터링
• FIDO2 보안키 또는 패스키 등 피싱 방지 인증 방식 도입
• 고위험 애플리케이션에 MFA를 요구하는 조건부 접근 정책 적용

법집행 조치와 남은 위협

공동 차단 작업을 통해 50개 호스팅 사이트와 150개 이상 도메인이 압수·폐쇄되었으며, 영국에서 32세와 38세 용의자 두 명이 체포돼 보석을 보장받고 조사 중에 있습니다.

BleepingComputer은 이번 조치가 완전한 근절이 아니라 서비스 차단임을 강조했습니다. APToken과 같은 복제 서비스가 이미 등장했으며, 근본적인 비즈니스 모델은 사이버 범죄자들에게 여전히 매력적입니다.

Microsoft는 또한 보안 정보 및 이벤트 관리(SIEM) 플랫폼용 탐지 서명을 공개해, 조직이 침해된 디바이스 코드 흐름을 통해 발급된 토큰을 신속히 식별할 수 있게 했습니다.

고객에게는 OAuth 애플리케이션 등록을 검토하고, 알 수 없는 토큰을 취소하며, 권장 보강 조치를 적용해 공격 표면을 최소화할 것을 권고했습니다.

EvilTokens가 OAuth 2.0 디바이스 코드 흐름을 악용한 구조적 특성을 고려하면, 기존의 비밀번호 기반 방어 체계만으로는 충분히 대응하기 어렵다는 점을 강조할 수 있다. 토큰이 Microsoft 인증 서버에서 정식으로 발급되기 때문에, 인증 로그에는 정상적인 로그인 시도처럼 보이며, 이는 보안 운영팀이 로그 분석 단계에서 이상 징후를 포착하기 어렵게 만든다. 따라서 방어 측면에서는 토큰 발급 시점과 이후 사서함 접근 패턴을 연계하여 비정상적인 행동을 식별하는 다층적인 모니터링이 필요하다. 특히 디바이스 코드 흐름이 비정상적인 환경(예: 사내 네트워크가 아닌 외부 IP, 비정규 시간대)에서 사용될 경우 경고를 발생시키는 정책을 적용하면, 초기 침해 단계에서 공격자를 차단할 가능성이 높아진다. 이러한 접근은 단순히 로그인 시도를 차단하는 것이 아니라, 인증 토큰 자체의 활용을 실시간으로 감시함으로써 사후 피해를 최소화한다는 실용적 의미를 가진다.

AI 기반 정찰 모듈이 사서함 내부 데이터를 자동으로 분류하고 고가치 정보를 추출하는 과정은, 기존의 수동적인 위협 인텔리전스 수집과는 차별화된 효율성을 제공한다. 그러나 이와 동시에 AI 모델이 학습에 사용하는 데이터가 민감 정보일 경우, 모델 자체가 새로운 개인정보 유출 경로가 될 위험도 존재한다. 따라서 조직은 AI 도구를 도입할 때 모델 학습 데이터의 보안 및 익명화 수준을 검증하고, 모델이 생성한 결과물에 대한 접근 권한을 최소화하는 절차를 마련해야 한다. 또한 AI가 자동으로 생성한 스피어 피싱 메일은 내용이 정교하고 개인화 수준이 높아 사용자가 인지하기 어려운 특성을 지니므로, 이메일 필터링 시스템에 AI 기반 악성 콘텐츠 탐지를 추가 적용하는 것이 효과적이다. 이러한 검증 절차는 AI 활용의 장점을 유지하면서도 부작용을 억제하는 균형 잡힌 방안을 제시한다.

법집행 기관과 보안 기업이 협력해 50개 호스팅 사이트와 150개 이상 도메인을 폐쇄한 조치는 즉각적인 서비스 차단 효과를 가져왔지만, 근본적인 위협 모델이 사라진 것은 아니다. 동일한 인증 흐름을 악용하는 새로운 PhaaS가 등장할 가능성이 높으며, 이는 기존의 차단 리스트만으로는 대응이 제한적임을 의미한다. 따라서 조직은 정적 차단보다 동적 위험 평가 기반의 조건부 접근 정책을 도입해야 한다. 예를 들어, 고위험 애플리케이션에 대해 MFA를 강제하고, 토큰 발급 후 일정 시간 내에 비정상적인 API 호출이 감지될 경우 즉시 토큰을 무효화하는 자동화된 워크플로우를 구축한다. 이러한 실시간 대응 메커니즘은 공격자가 토큰을 획득하더라도 활용 시간을 크게 축소시켜 피해 규모를 억제한다.

Microsoft가 제공한 SIEM 탐지 서명은 조직이 자체 로그 수집 환경에 쉽게 통합할 수 있도록 설계되었다. 그러나 서명 기반 탐지는 알려진 패턴에만 반응하므로, 변형된 공격 기법이나 새로운 토큰 발급 흐름이 등장하면 탐지율이 급격히 떨어질 위험이 있다. 따라서 서명 활용과 함께 머신러닝 기반 이상 탐지 모델을 병행 운영하는 것이 바람직하다. 모델은 정상적인 토큰 사용 패턴을 학습하고, 급격한 변동이나 비정상적인 권한 상승을 실시간으로 경고한다. 또한, 탐지 결과에 대한 피드백 루프를 구축해 오탐지를 최소화하고, 보안 팀이 실제 위협에 집중할 수 있도록 지원한다.

권장된 보강 조치—OAuth 애플리케이션 등록 검토, 알 수 없는 토큰 취소, FIDO2 보안키 도입—는 각각 다른 보안 계층을 강화한다. 애플리케이션 등록 검토는 사전 승인된 클라이언트만 토큰을 발급받도록 제한함으로써 무분별한 서비스 연동을 차단하고, 알 수 없는 토큰 취소는 이미 발급된 토큰이 악용되는 것을 방지한다. FIDO2 보안키나 패스키와 같은 피싱 방지 인증 방식은 사용자가 직접 인증 정보를 입력하지 않도록 설계돼, 디바이스 코드 흐름 자체를 무력화한다. 이러한 다중 방어선은 단일 실패점에 의존하지 않으며, 전체 인증 인프라의 탄력성을 크게 향상시킨다. 실무적으로는 각 조치를 단계별로 적용하고, 적용 후 효과를 측정해 지속적인 개선 사이클을 운영하는 것이 필요하다.

한국 기업이 이번 차단을 통해 얻은 두 가지 주요 효과—즉각적인 위험 감소와 장기적인 인증 강화—는 조직 전반의 보안 성숙도를 끌어올리는 계기가 된다. 위험 감소 측면에서는 차단된 서비스로 인한 신규 침해 시도가 급감하고, 기존에 유출된 토큰이 즉시 무효화돼 추가 데이터 유출을 방지한다. 인증 강화 측면에서는 조건부 접근 정책과 MFA, 피싱 방지 인증 수단이 표준화됨에 따라 전체 사용자 풀의 보안 수준이 상승한다. 결과적으로 피싱 침해 성공률이 낮아지고, 사고 대응에 소요되는 인력 및 비용이 절감되며, 아이덴티티 관리 체계가 보다 견고해진다. 이러한 실질적 효과는 조직이 보안 투자를 정당화하고, 향후 발생 가능한 인증 기반 위협에 대비하는 전략적 기반을 마련하는 데 기여한다.

한국 기업의 경우, 이번 차단은 즉각적인 위험 감소와 장기적인 인증 강화라는 두 가지 효과를 제공합니다. 권장된 통제 방안을 도입하면 피싱 침해 성공률이 낮아지고, 사고 대응 비용이 절감되며, 보다 탄탄한 아이덴티티 생태계를 구축할 수 있습니다.