피싱이 변화하고 있습니다. 수년 동안 일반적인 공격은 로그인 페이지를 복사하고 피해자가 비밀번호를 입력할 때까지 기다렸습니다. 오늘날에는 비밀번호가 전혀 필요하지 않은 공격자 그룹이 늘어나고 있습니다. 지난주 여러 보안 공급업체와 뉴스 매체에서는 MFA(다단계 인증)가 활성화된 경우에도 실제 Microsoft 로그인 기능을 악용하여 계정을 탈취하는 기술인 장치 코드 피싱에 대해 보도했습니다. 이 문서에서는 장치 코드 피싱이 무엇인지, 그것이 효과적인 이유, 최신 보고서에 나타난 내용, 조직이 위험을 줄일 수 있는 방법에 대해 설명합니다.
기기코드 피싱이란?
OAuth 2.0 장치 인증 흐름은 스마트 TV, 회의실 장비 및 명령줄 도구와 같이 키보드가 없거나 작은 화면만 있는 장치를 위해 설계되었습니다. 장치에 단축 코드가 표시됩니다. 그런 다음 사용자는 휴대폰이나 컴퓨터에서 Microsoft 페이지를 열고 해당 코드를 입력한 후 로그인합니다. 사용자가 요청을 승인하면 Microsoft는 해당 장치에 대한 액세스 토큰을 발급합니다.
장치 코드 피싱 공격에서 범죄자는 자신의 시스템에서 이 프로세스를 시작한 다음 피해자가 완료하도록 설득합니다. 피해자는 가짜 페이지에서 코드를 받고 정품 Microsoft 장치 로그인 페이지에 입력하라는 메시지를 받습니다. 피해자는 평소와 같이 로그인하고 MFA를 통과합니다. 그런 다음 Microsoft는 피해자가 아닌 공격자에게 토큰을 제공합니다. 암호는 도난당하지 않으며 로그인은 Microsoft 365의 ID 서비스인 Microsoft Entra ID 로그에서 일반적인 장치 코드 인증처럼 보입니다.
이 기술이 효과적인 이유
오늘날 대부분의 조직에서 사용하는 제어 수단으로는 공격을 중지하기 어렵게 만드는 여러 가지 속성이 있습니다.
- 로그인 페이지는 실제입니다. 피해자는 Microsoft 웹사이트에 코드를 입력하므로 URL 확인과 웹 브라우저의 자물쇠 기호에는 경고가 표시되지 않습니다.
- MFA는 공격을 차단하지 않습니다. 피해자가 직접 MFA 단계를 수행하고 공격자의 세션에 승인이 전달됩니다.
- 토큰은 광범위한 액세스를 제공합니다. 하나의 토큰으로 이메일, 파일, 채팅 및 Entra ID를 통해 연결된 모든 애플리케이션을 열 수 있습니다. 공격자는 신뢰할 수 있는 계정에서 동료, 고객 및 파트너에게 새로운 피싱 메시지를 보낼 수도 있습니다.
- 비밀번호는 관련되지 않습니다. 비밀번호 재설정만으로는 토큰이 제공하는 액세스 권한이 제거되지 않으므로 세션도 취소되어야 합니다.
최신 보고서에 나타난 내용
SkyW4lker는 빠르게 성장합니다.
2026년 11월 4일 Cyber Security News는 SkyW4lker라는 피싱 키트에 대한 ANY.RUN의 연구를 요약했습니다. 이 보고서에 따르면 피싱 키트는 2026년 6월 23일에 처음 등장했습니다. ANY.RUN은 2026년 6월부터 10월 21일까지 피싱 키트와 연결된 618개의 샌드박스 분석을 추적했습니다. 월간 제출 건수는 6월 20건에서 9월 200건으로 증가했으며 제출 건수의 거의 절반이 미국에서 나왔습니다. 기술, 제조 및 정부 기관이 가장 빈번하게 제출했습니다.
공격 체인은 계약서, 송장 또는 지불 통지에 관한 이메일로 시작됩니다. 비밀번호로 보호된 PDF, Word, Excel 파일이 첨부되며 이메일 텍스트에 비밀번호가 기재되어 있습니다. 암호화는 많은 보안 스캐너가 이 파일을 읽는 것을 방지합니다. 이 문서에는 일반적으로 자동화된 스캐너를 차단하는 CAPTCHA 페이지에 대한 링크가 포함되어 있습니다. 그러면 피해자는 장치 코드와 이를 Microsoft 장치 로그인 페이지에 입력하라는 지침이 포함된 브랜드 페이지를 보게 됩니다. 체인의 일부는 Google 사이트 도구, Miro, Zoom 및 Smartsheet와 같은 신뢰할 수 있는 서비스에서 호스팅되므로 링크가 평판 검사를 통과할 수 있습니다. ANY.RUN은 또한 이 피싱 키트를 Gabagool이라는 자격 증명 피싱 키트에 연결하는데, 이는 한 개발자가 두 제품을 모두 구축했음을 암시합니다.
가짜 AI 이벤트 초대장
2026년 11월 6일 TechRadar는 유명한 AI 및 기술 회사의 이벤트를 광고하는 피싱 페이지에 대한 Push Security의 연구를 보고했습니다. 미끼에는 실시간 스트리밍, 개인 브리핑 및 컨퍼런스 프레젠테이션이 포함되었습니다. 방문자에게는 AI 서비스 무료 구독 등의 보상을 약속했으며 먼저 Microsoft 또는 Google 계정으로 로그인하라는 안내가 제공되었습니다. 보고서에 따르면 Microsoft 경로는 장치 코드 피싱에 Kali365 플랫폼을 사용했으며 VoidProxy라는 두 번째 플랫폼은 추가 자격 증명과 세션 쿠키를 캡처했습니다. Google 계정의 경우 VoidProxy는 실제 로그인 페이지를 전달하고 비밀번호, MFA 응답 및 세션 쿠키를 복사하는 역방향 프록시 역할을 했습니다. 연구원들은 새로운 AI 도구에 대한 직원의 관심이 그러한 미끼를 효과적으로 만든다고 지적했습니다.
Trellix 보고서의 더 넓은 추세
2026년 11월 Trellix CyberThreat 보고서는 2026년 4월부터 9월까지의 기간을 다룹니다. 여기에는 장치 코드 및 OAuth 남용이 캠페인의 2.7%에서 나타났으며 이전에는 1.3%였습니다. 보고서에서는 Kali365, EvilTokens 및 Forg365를 Microsoft 장치 인증 흐름을 사용하여 Entra ID 토큰을 훔치는 피싱 서비스 키트로 명명했습니다. 또한 공격자가 IT 직원인 것처럼 가장하여 Single Sign-On 및 Microsoft 365 환경을 손상시키는 보이스 피싱 캠페인에 대해서도 설명합니다. 종합적으로, 이러한 조사 결과는 ID 공격이 도난당한 비밀번호에서 도난당한 세션 및 토큰으로 이동하고 있음을 보여줍니다.
조직이 위험을 줄이는 방법
보고서는 몇 가지 조치를 제안합니다.
- 장치 코드 흐름을 제한합니다. 대부분의 회사에서는 회의실 시스템이나 명령줄 도구와 같은 일부 장치에만 이 흐름이 필요합니다. Microsoft Entra의 조건부 액세스 정책은 다른 모든 사용자 및 시나리오에 대한 흐름을 차단할 수 있습니다. ANY.RUN은 이 단일 컨트롤을 공격의 이점을 제거하는 컨트롤로 설명합니다.
- 로그인 로그를 모니터링합니다. 기기 코드 인증을 검색하고, 동일 사용자가 받은 의심스러운 이메일이나 문서 공유 알림과 타임스탬프를 비교해 보세요. 청구서 이메일이 전송된 후 몇 분 후에 장치 코드 로그인이 발생하면 강력한 경고 신호입니다.
- 토큰 도난에 대한 대응 계획을 준비하세요. 손상이 의심되는 경우 세션을 취소하고, 자격 증명을 재설정하고, 사서함 규칙 및 응용 프로그램 동의를 확인하고, 보내는 메일에서 동료 및 파트너에게 보낸 메시지를 검토하세요.
- 샌드박스의 첨부 파일을 검사합니다. 비밀번호로 보호된 파일과 CAPTCHA로 보호된 링크는 자동 검색을 방지하도록 설계되었습니다. 격리된 테스트 환경에서는 파일을 열고 비밀번호를 입력하고 실제 네트워크 트래픽을 관찰할 수 있습니다.
- 하나의 명확한 규칙에 따라 직원을 교육하십시오. 사용자는 기기에서 직접 로그인을 시작한 경우에만 기기 코드를 입력해야 합니다. 이메일, 문서 또는 웹페이지를 통해 도착하는 코드는 IT 부서에 전화를 걸어야 하는 이유가 됩니다.