AI 결합 피싱 서비스 ‘EvilTokens’ 차단, 계정 방어는 계속돼야 한다

오늘의 핵심

마이크로소프트가 AI로 표적 선정과 사기 메시지 작성을 지원한 피싱 서비스 EvilTokens의 인프라를 차단했다. 1만여 조직의 이메일 계정 1만2천여 개가 침해된 만큼, 국내 Microsoft 365 운영자도 장치 코드 인증과 탈취 토큰을 점검해야 한다.

확인된 사실

• 마이크로소프트 디지털범죄대응팀은 법원의 허가를 받아 EvilTokens 운영에 쓰인 인프라를 차단했다. 근거 [1] [2]
• EvilTokens는 1만여 조직의 Microsoft 이메일 계정 1만2천여 개를 침해한 것으로 파악됐다. 근거 [1] [2]
• 공격자는 정상 OAuth 장치 코드 인증 절차를 피싱에 악용해 토큰을 탈취하고 계정에 접근했다. 근거 [2]
• 이 서비스는 AI를 이용해 유인 메시지를 만들고 침해된 사서함에서 결제 관계와 주요 표적을 분석했다. 근거 [1] [2]
• 핵심 인프라가 차단됐지만 APToken 등 유사·파생 서비스가 이미 등장해 동일 수법의 위험은 남아 있다. 근거 [2]

왜 중요한가

• 비밀번호를 직접 훔치는 방식이 아니어서 기존 비밀번호 중심 탐지나 일반적인 다중인증만으로는 대응이 부족할 수 있다.
• 메일 계정 하나의 침해가 거래처 사칭, 송금 유도, 내부 관계망 탐색으로 이어져 웹·앱 운영사의 재무·고객 대응 채널까지 영향을 줄 수 있다.
• 서비스 차단은 진행 중인 공격 일부를 약화하지만 탈취된 토큰과 생성된 악성 받은편지함 규칙은 별도 조치 없이는 남을 수 있다.

inxight의 관점

• 이번 사건의 핵심은 AI 자체보다 정상 인증 흐름과 조직의 신뢰 관계가 공격 자동화에 결합됐다는 점이다.
• 보안 운영 기준을 로그인 성공 여부에서 벗어나 장치 코드 요청, 토큰 사용 위치, 받은편지함 규칙 변경까지 연결해 관찰해야 한다.
• 외주사와 협력사 계정에도 동일한 조건부 접근 정책을 적용해야 서비스 운영망의 가장 약한 인증 고리를 줄일 수 있다.

실무 체크리스트

• Entra ID에서 업무상 필요하지 않은 장치 코드 인증을 차단하고, 예외 계정과 승인 책임자를 명시한다.
• 최근 장치 코드 로그인, 낯선 지역·기기의 토큰 사용, Microsoft Graph 대량 조회 기록을 점검한다.
• 의심 계정의 세션과 새로 고침 토큰을 폐기하고 비밀번호 재설정 및 인증 수단 재등록을 시행한다.
• 외부 전달·삭제·숨김 처리를 수행하는 받은편지함 규칙과 비정상 OAuth 앱 동의를 전수 확인한다.
• 송금·계좌 변경 요청은 이메일 밖의 기존 연락처로 재확인하는 절차를 운영팀과 재무팀에 적용한다.