니케이 마이크로소프트 365 계정 탈취, 약 9천 건 피싱 메일 발송

2026년 10월 4일, 일본 언론 그룹 니케이는 직원의 Microsoft 365 계정이 무단 로그인 후 탈취된 것으로 추정된다고 발표했습니다. 회사의 이메일 모니터링 도구가 급증한 발신 메일을 감지하면서 침해 사실이 밝혀졌습니다.

해킹당한 계정은 9월 30일에 약 9천 건의 메일을 전송하는 데 이용되었습니다. 각 메일은 니케이 사칭 형태로 내부 직원과 외부 파트너에게 발송됐으며, 수신자를 악성 웹사이트로 유인해 자격 증명을 탈취하려는 링크를 포함했습니다.

노출된 데이터 범위

니케이에 따르면 공격자는 이름, 이메일 주소 및 일부 발송 메일 내용에 접근했을 가능성이 있습니다. 전체 데이터가 얼마나 노출됐는지는 아직 확인되지 않았지만, 위협 행위자에게 정보가 전달됐을 가능성을 인정했습니다.

무단 활동을 감지한 직후 니케이는 해당 계정의 비밀번호를 즉시 재설정했으며, 비밀번호 변경 이후 추가 무단 로그인은 관찰되지 않았다고 보고했습니다.

대응 조치 및 신고

니케이는 일본 개인정보보호위원회에 사건을 신고했으며, 이는 국내 침해 통보 의무를 충족하는 절차입니다. 현재 내부 조사를 진행 중이며, 공격 범위와 영향을 받은 인원의 정확한 수를 파악하고 있습니다.

식별된 모든 수신자에게 개별적으로 연락을 취해 피싱 메일을 삭제하고, 추가 사칭 시도에 대비해 경계를 유지하라고 안내했습니다.

관련 보안 사건

2026년 10월 6일에 iThome이 발표한 보고서에서는 1,646명의 직원·파트너가 사용하던 Google Workspace 계정이 7월에 침해된 사례를 다루었습니다. 해당 기사에서는 니케이 침해를 언급하지만, 두 사건 사이에 직접적인 연관성을 입증하는 공개된 증거는 없습니다.

• 2026년 9월 30일 침해 감지
• 약 9천 건의 피싱 메일 전송
• 즉시 비밀번호 재설정 수행
• 일본 개인정보보호위원회에 사건 신고
• 모든 식별된 수신자에게 삭제 요청 및 안내

피싱 메일은 니케이의 브랜드와 친숙한 발신자명을 사용해 정통하게 꾸며졌으며, 악성 링크는 정식 서비스 로그인 페이지를 흉내 낸 도메인으로 연결돼 자격 증명을 탈취하려는 전형적인 수법이었습니다.

보안 전문가들은 Microsoft 365 계정이 SharePoint, Teams, Outlook 등 기업 자원에 폭넓게 접근할 수 있기 때문에 매력적인 표적이라고 강조합니다. 하나의 계정이 탈취되면 신뢰성을 갖춘 대규모 피싱 캠페인을 손쉽게 실행할 수 있습니다.

Microsoft 365에 크게 의존하는 조직은 이번 니케이 사건을 통해 다중 인증(MFA), 로그인 이상 탐지 지속 모니터링, 신속한 사고 대응 절차의 중요성을 다시금 인식해야 합니다. 단 한 개의 자격 증명이라도 수천 건의 악성 메일을 짧은 시간에 전송할 수 있는 무기가 됩니다.

이번 사건에서 확인된 주요 취약점은 다중 인증(MFA) 미적용과 로그인 시도에 대한 실시간 감시 부재였다. MFA가 적용되지 않았을 경우 공격자는 단일 비밀번호만으로 계정에 접근할 수 있으며, 이는 대규모 피싱 메일 발송이라는 심각한 파급 효과를 초래한다. 따라서 조직은 MFA를 전사적으로 강제하고, 인증 단계에서 비정상적인 IP 주소나 디바이스를 자동 차단하는 정책을 도입해야 한다. 이러한 조치는 초기 침해를 차단하고, 사후 대응에 필요한 시간을 확보하는 데 핵심적인 역할을 한다.

감지된 비정상적인 메일 발송량은 기존 모니터링 시스템이 정상 트래픽과 이상 트래픽을 구분하지 못한 점을 드러낸다. 발신량 급증 시 알림을 트리거하도록 설정하지 않으면, 침해 사실이 발견될 때까지 피해 규모가 확대될 위험이 크다. 따라서 이메일 게이트웨이와 SIEM 솔루션을 연동해 발신량 기준 임계치를 설정하고, 이상 징후 발생 시 자동 차단 및 관리자 알림을 구현하는 것이 필요하다. 이러한 실시간 대응 메커니즘은 피해 확산을 최소화한다.

피해 범위 확인 과정에서 나타난 한계는 데이터 노출 여부를 정확히 파악하기 어려웠다는 점이다. 공격자가 접근한 메일 내용과 첨부 파일이 일부만 확인되었으며, 전체 노출 여부는 포렌식 분석과 로그 검토에 의존한다. 따라서 조직은 로그 보존 기간을 확대하고, 접근 기록을 상세히 기록하는 체계를 구축해야 한다. 또한, 데이터 유출 여부를 판단하기 위해 외부 위협 인텔리전스와 연계해 의심스러운 파일 해시값을 지속적으로 비교하는 절차가 필요하다.

신고 절차와 내부 조사 과정은 법적·규제적 요구사항을 충족하는 동시에, 조직 내 투명성을 확보하는 데 중요한 역할을 한다. 개인정보보호위원회에 사건을 신고함으로써 규제 기관과의 협조 체계를 마련했으며, 이는 향후 유사 사건 발생 시 신속한 대응을 가능하게 한다. 그러나 신고 후 조사 결과가 공개되지 않을 경우 이해관계자들의 신뢰가 손상될 위험이 있다. 따라서 조사 진행 상황과 주요 결과를 정기적으로 공유하고, 개선 조치를 명확히 제시하는 커뮤니케이션 전략이 필요하다.

피해자에게 개별 연락을 취해 피싱 메일 삭제와 추가 사칭 방지를 안내한 것은 사후 대응의 핵심이다. 하지만 수신자 전원이 이를 확인했는지는 검증이 어렵다. 따라서 수신 확인 절차를 자동화하고, 메일 삭제 요청에 대한 수신자의 응답을 추적하는 시스템을 도입해야 한다. 또한, 향후 유사 사칭 시도를 방지하기 위해 발신자 도메인 인증(DKIM, SPF, DMARC)을 강화하고, 수신자 교육을 정기적으로 실시하는 것이 효과적이다.

전체적으로 이번 사건은 Microsoft 365와 같은 클라우드 기반 협업 플랫폼이 제공하는 편리함 이면에 보안 관리의 복잡성을 내포하고 있음을 보여준다. 계정 탈취가 발생하면 조직 전체에 걸친 신뢰 기반 커뮤니케이션이 위협받으며, 단일 계정 하나로 수천 건의 악성 메일을 전송할 수 있다. 따라서 기업은 보안 정책을 기술적 방어와 인적 교육이 균형을 이루도록 설계하고, 정기적인 모의 침투 테스트와 취약점 스캔을 통해 지속적으로 방어 수준을 검증해야 한다. 이러한 체계적 접근이 장기적인 보안 회복력 확보에 필수적이다.

한국 기업들은 이번 사건을 계기로 자체 이메일 보안 체계를 재점검해야 합니다. 전사 MFA 적용, 대량 발신 메일 급증 시 자동 알림 설정, 정기적인 피싱 모의 훈련을 통해 직원들의 인식을 높이는 것이 필요합니다. 비밀번호를 신속히 변경하고, 포렌식 분석을 철저히 수행하며, 영향을 받은 대상과 투명하게 소통하는 것이 피해 최소화와 신뢰 회복에 핵심적인 단계입니다.