공격자들은 Microsoft 365 테넌트를 생성한 뒤 Entra ID 브랜드 필드를 조작해 피싱 문구를 삽입하고, 마이크로소프트의 공식 알림 시스템을 이용해 이메일을 발송한다. 이메일은 실제 주소 msonlineservicesteam@microsoftonline.com에서 발송되기 때문에 SPF·DKIM·DMARC 인증을 통과해 정상 메일처럼 보인다.
공격자들은 Microsoft 365 테넌트를 생성한 뒤 Entra ID 브랜드 필드를 조작해 피싱 문구를 삽입하고, 마이크로소프트의 공식 알림 시스템을 이용해 이메일을 발송한다.
이메일은 실제 주소 msonlineservicesteam@microsoftonline.com에서 발송되기 때문에 SPF·DKIM·DMARC 인증을 통과해 정상 메일처럼 보인다.
보안 연구자들과 스팸 대응 단체는 이런 악용이 수개월 동안 이어졌다고 보고하며, 신뢰된 플랫폼 인프라가 피싱 전달 채널로 사용될 수 있다고 경고했다.
How are scammers exploiting a vulnerability in Microsoft’s systems to send phishing emails from the legitimate address msonlineservicesteam@Attackers manipulate Microsoft account workflows so phishing emails are sent through Microsoft’s own infrastructure, making them appear authentic.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: How are scammers exploiting a vulnerability in Microsoft’s systems to send phishing emails from the legitimate address msonlineservicesteam@. Article summary: Scammers appear to be abusing Microsoft’s own notification workflow so Microsoft’s infrastructure sends the phishing email for them, which is why messages can come from the legitimate address msonlineservicesteam@microso. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Sophisticated Phishing Campaign Exploiting Microsoft 365 Infrastructure. This technique effectively bypasses traditional email security controls by exploiting inherent trust mech" source context "Microsoft 365 Phishing Campaign: Attack Breakdown - Guardz" Reference image 2: visual subject "Attackers exploit Microsoft Entra ID
openai.com
피싱 이메일은 보통 발신자를 위조하거나 가짜 도메인을 사용한다. 그런데 최근 발견된 공격은 훨씬 교묘하다. 마이크로소프트가 직접 피싱 이메일을 보내도록 만드는 방식이기 때문이다.
보안 연구자와 기자들은 실제 Microsoft 알림 주소인 msonlineservicesteam@microsoftonline.com에서 발송된 사기 이메일을 확인했다. 이 주소는 원래 계정 보안 알림이나 인증 코드 등을 보내는 공식 채널이다. 메시지가 마이크로소프트 인프라에서 실제로 발송되기 때문에 이메일 보안 검사에서도 정상으로 보일 수 있다.
이 활동은 수개월 동안 이어진 것으로 보고됐으며, 공격자들은 마이크로소프트 서버를 해킹한 것이 아니라 정상적인 계정 기능과 워크플로를 악용하고 있는 것으로 분석된다.
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"사기꾼들이 ‘진짜’ Microsoft 주소로 피싱 메일을 보내는 이유"에 대한 짧은 대답은 무엇입니까?
공격자들은 Microsoft 365 테넌트를 생성한 뒤 Entra ID 브랜드 필드를 조작해 피싱 문구를 삽입하고, 마이크로소프트의 공식 알림 시스템을 이용해 이메일을 발송한다.
먼저 검증할 핵심 포인트는 무엇인가요?
공격자들은 Microsoft 365 테넌트를 생성한 뒤 Entra ID 브랜드 필드를 조작해 피싱 문구를 삽입하고, 마이크로소프트의 공식 알림 시스템을 이용해 이메일을 발송한다. 이메일은 실제 주소 msonlineservicesteam@microsoftonline.com에서 발송되기 때문에 SPF·DKIM·DMARC 인증을 통과해 정상 메일처럼 보인다.
실무에서는 다음으로 무엇을 해야 합니까?
보안 연구자들과 스팸 대응 단체는 이런 악용이 수개월 동안 이어졌다고 보고하며, 신뢰된 플랫폼 인프라가 피싱 전달 채널로 사용될 수 있다고 경고했다.
공격자들은 Microsoft 365 테넌트를 생성한 뒤 Entra ID 브랜드 필드를 조작해 피싱 문구를 삽입하고, 마이크로소프트의 공식 알림 시스템을 이용해 이메일을 발송한다. 이메일은 실제 주소 msonlineservicesteam@microsoftonline.com에서 발송되기 때문에 SPF·DKIM·DMARC 인증을 통과해 정상 메일처럼 보인다.
공격자들은 Microsoft 365 테넌트를 생성한 뒤 Entra ID 브랜드 필드를 조작해 피싱 문구를 삽입하고, 마이크로소프트의 공식 알림 시스템을 이용해 이메일을 발송한다.
이메일은 실제 주소 msonlineservicesteam@microsoftonline.com에서 발송되기 때문에 SPF·DKIM·DMARC 인증을 통과해 정상 메일처럼 보인다.
보안 연구자들과 스팸 대응 단체는 이런 악용이 수개월 동안 이어졌다고 보고하며, 신뢰된 플랫폼 인프라가 피싱 전달 채널로 사용될 수 있다고 경고했다.
How are scammers exploiting a vulnerability in Microsoft’s systems to send phishing emails from the legitimate address msonlineservicesteam@Attackers manipulate Microsoft account workflows so phishing emails are sent through Microsoft’s own infrastructure, making them appear authentic.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: How are scammers exploiting a vulnerability in Microsoft’s systems to send phishing emails from the legitimate address msonlineservicesteam@. Article summary: Scammers appear to be abusing Microsoft’s own notification workflow so Microsoft’s infrastructure sends the phishing email for them, which is why messages can come from the legitimate address msonlineservicesteam@microso. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Sophisticated Phishing Campaign Exploiting Microsoft 365 Infrastructure. This technique effectively bypasses traditional email security controls by exploiting inherent trust mech" source context "Microsoft 365 Phishing Campaign: Attack Breakdown - Guardz" Reference image 2: visual subject "Attackers exploit Microsoft Entra ID
openai.com
피싱 이메일은 보통 발신자를 위조하거나 가짜 도메인을 사용한다. 그런데 최근 발견된 공격은 훨씬 교묘하다. 마이크로소프트가 직접 피싱 이메일을 보내도록 만드는 방식이기 때문이다.
보안 연구자와 기자들은 실제 Microsoft 알림 주소인 msonlineservicesteam@microsoftonline.com에서 발송된 사기 이메일을 확인했다. 이 주소는 원래 계정 보안 알림이나 인증 코드 등을 보내는 공식 채널이다. 메시지가 마이크로소프트 인프라에서 실제로 발송되기 때문에 이메일 보안 검사에서도 정상으로 보일 수 있다.
이 활동은 수개월 동안 이어진 것으로 보고됐으며, 공격자들은 마이크로소프트 서버를 해킹한 것이 아니라 정상적인 계정 기능과 워크플로를 악용하고 있는 것으로 분석된다.
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"사기꾼들이 ‘진짜’ Microsoft 주소로 피싱 메일을 보내는 이유"에 대한 짧은 대답은 무엇입니까?
공격자들은 Microsoft 365 테넌트를 생성한 뒤 Entra ID 브랜드 필드를 조작해 피싱 문구를 삽입하고, 마이크로소프트의 공식 알림 시스템을 이용해 이메일을 발송한다.
먼저 검증할 핵심 포인트는 무엇인가요?
공격자들은 Microsoft 365 테넌트를 생성한 뒤 Entra ID 브랜드 필드를 조작해 피싱 문구를 삽입하고, 마이크로소프트의 공식 알림 시스템을 이용해 이메일을 발송한다. 이메일은 실제 주소 msonlineservicesteam@microsoftonline.com에서 발송되기 때문에 SPF·DKIM·DMARC 인증을 통과해 정상 메일처럼 보인다.
실무에서는 다음으로 무엇을 해야 합니까?
보안 연구자들과 스팸 대응 단체는 이런 악용이 수개월 동안 이어졌다고 보고하며, 신뢰된 플랫폼 인프라가 피싱 전달 채널로 사용될 수 있다고 경고했다.
보안 연구자들은 Microsoft Entra ID(구 Azure Active Directory)의 테넌트 설정과 알림 기능을 이용하는 공격 패턴을 확인했다.
일반적인 진행 과정은 다음과 같다.
새 Microsoft 365 테넌트 생성
공격자는 onmicrosoft.com 하위 도메인을 사용하는 새 Microsoft 365 환경을 만든다. 이렇게 하면 해당 테넌트의 기본 관리자 설정에 접근할 수 있다.
테넌트 브랜딩 정보 조작
Entra ID에서는 조직 이름 등 브랜딩 정보를 자유롭게 설정할 수 있다. 공격자들은 이 필드에 "결제 확인 필요" 또는 "구매 알림" 같은 피싱 문구와 전화번호를 넣는다.
정상 시스템 알림 트리거
이후 공격자는 계정 로그인 이메일 추가나 복구 이메일 설정 같은 정상 계정 워크플로를 실행한다. 이때 자신의 이메일 대신 피해자의 이메일 주소를 입력한다.
마이크로소프트가 이메일 발송
그러면 Microsoft의 자동 알림 시스템이 피해자에게 이메일을 보낸다. 이 템플릿에는 테넌트 이름이나 브랜딩 정보가 포함되기 때문에, 공격자가 입력한 사기 메시지가 공식 Microsoft 이메일 안에 삽입된 형태로 전달된다.
결과적으로 공격자는 피싱 메시지를 Microsoft 시스템 이메일 템플릿 안에 주입하게 된다.
필터를 피하기 위한 추가 기법
연구자들은 이 캠페인에서 여러 우회 기법도 발견했다.
• 제목 줄 장악(Subject-line hijacking) – 테넌트 이름 필드에 긴 사기 문구를 넣어 제목이나 미리보기 텍스트 대부분을 피싱 메시지로 채운다.
• 유사 문자 사용 – 키워드 필터를 피하기 위해 비슷하게 보이는 다른 문자(homoglyph)를 사용한다.
• 전화번호 숨기기 – 숫자 대신 문자나 특수문자를 섞어 자동 필터가 인식하지 못하게 만든다.
이 방식은 자동 스팸 필터를 피하면서도 사람에게는 메시지가 읽히도록 설계됐다.
왜 이메일이 진짜처럼 보일까
이 공격이 위험한 이유는 단순한 발신자 위조가 아니라는 점이다.
이메일이 마이크로소프트 인프라에서 실제로 발송되기 때문에 많은 메일 시스템이 사용하는 인증 검사인 SPF, DKIM, DMARC를 통과할 수 있다.
또한 수신자는 계정 알림에 자주 사용되는 Microsoft 주소를 보게 되므로 메시지 내용이 의심스러워도 신뢰하기 쉽다.
즉, 신뢰된 발신 인프라 + 삽입된 피싱 메시지라는 조합이 기존 피싱보다 훨씬 설득력을 높인다.
연구자들과 스팸 대응 단체의 보고
보도와 보안 연구에 따르면 이러한 악용은 수개월 동안 이어졌다.
보고된 내용에는 다음이 포함된다.
• Microsoft 알림 주소에서 여러 사용자에게 동일한 구조의 피싱 이메일이 발송된 사례
• 가짜 구매 알림, 결제 문제, 긴급 지원 요청 등의 사기 시나리오
• 일회용 Microsoft 365 테넌트를 대량으로 만들고 폐기하는 "burn‑and‑churn" 방식 운영
스팸 대응 커뮤니티와 보안 연구자들은 자동 알림 시스템의 높은 커스터마이즈 수준이 문제라며, 신뢰된 플랫폼 자체가 피싱 전달 채널로 악용될 수 있다고 경고했다.
또한 관련 보도 시점 기준으로 마이크로소프트가 정확한 기술적 원인을 공식적으로 확인하지는 않았다는 점도 언급됐다.
의심스러운 Microsoft 이메일을 구별하는 방법
발신 주소가 실제라고 해서 이메일 내용까지 신뢰할 수 있는 것은 아니다.
다음과 같은 신호가 보이면 주의해야 한다.
• 본인이 요청하지 않은 구매 또는 보안 경고
• 지금 바로 전화하라는 식의 긴급한 안내
• 결제 문제 해결을 요구하는 링크 클릭 요청
• 요청하지 않은 인증 코드 이메일
이런 메시지는 실제 Microsoft 주소에서 와도 피싱일 수 있다.
사용자 보호 방법
의심스러운 Microsoft 이메일을 받았다면 다음과 같이 대응하는 것이 안전하다.
• 이메일 안의 링크나 전화번호를 사용하지 않는다.
• 브라우저에 직접 공식 Microsoft 사이트 주소를 입력해 접속한다.
• 계정 대시보드에서 로그인 기록과 활동을 확인한다.
• 이메일 클라이언트에서 피싱으로 신고하거나 회사 보안팀에 전달한다.
• 이미 상호작용했다면 Microsoft 계정 비밀번호를 변경하고 로그인 기록을 확인한다.
이번 사례는 최근 사이버 범죄의 흐름을 보여준다. 공격자들은 더 이상 단순히 가짜 도메인을 만드는 데 그치지 않고, 신뢰받는 플랫폼의 정상 기능 자체를 공격 도구로 활용하고 있다. 이런 환경에서는 발신자 이름만으로 이메일을 신뢰하는 방식이 더 이상 충분한 방어가 되지 않는다.
helpnetsecurity.comThreat actors weaponize OAuth redirection logic to deliver ...
보안 연구자들은 Microsoft Entra ID(구 Azure Active Directory)의 테넌트 설정과 알림 기능을 이용하는 공격 패턴을 확인했다.
일반적인 진행 과정은 다음과 같다.
새 Microsoft 365 테넌트 생성
공격자는 onmicrosoft.com 하위 도메인을 사용하는 새 Microsoft 365 환경을 만든다. 이렇게 하면 해당 테넌트의 기본 관리자 설정에 접근할 수 있다.
테넌트 브랜딩 정보 조작
Entra ID에서는 조직 이름 등 브랜딩 정보를 자유롭게 설정할 수 있다. 공격자들은 이 필드에 "결제 확인 필요" 또는 "구매 알림" 같은 피싱 문구와 전화번호를 넣는다.
정상 시스템 알림 트리거
이후 공격자는 계정 로그인 이메일 추가나 복구 이메일 설정 같은 정상 계정 워크플로를 실행한다. 이때 자신의 이메일 대신 피해자의 이메일 주소를 입력한다.
마이크로소프트가 이메일 발송
그러면 Microsoft의 자동 알림 시스템이 피해자에게 이메일을 보낸다. 이 템플릿에는 테넌트 이름이나 브랜딩 정보가 포함되기 때문에, 공격자가 입력한 사기 메시지가 공식 Microsoft 이메일 안에 삽입된 형태로 전달된다.
결과적으로 공격자는 피싱 메시지를 Microsoft 시스템 이메일 템플릿 안에 주입하게 된다.
필터를 피하기 위한 추가 기법
연구자들은 이 캠페인에서 여러 우회 기법도 발견했다.
• 제목 줄 장악(Subject-line hijacking) – 테넌트 이름 필드에 긴 사기 문구를 넣어 제목이나 미리보기 텍스트 대부분을 피싱 메시지로 채운다.
• 유사 문자 사용 – 키워드 필터를 피하기 위해 비슷하게 보이는 다른 문자(homoglyph)를 사용한다.
• 전화번호 숨기기 – 숫자 대신 문자나 특수문자를 섞어 자동 필터가 인식하지 못하게 만든다.
이 방식은 자동 스팸 필터를 피하면서도 사람에게는 메시지가 읽히도록 설계됐다.
왜 이메일이 진짜처럼 보일까
이 공격이 위험한 이유는 단순한 발신자 위조가 아니라는 점이다.
이메일이 마이크로소프트 인프라에서 실제로 발송되기 때문에 많은 메일 시스템이 사용하는 인증 검사인 SPF, DKIM, DMARC를 통과할 수 있다.
또한 수신자는 계정 알림에 자주 사용되는 Microsoft 주소를 보게 되므로 메시지 내용이 의심스러워도 신뢰하기 쉽다.
즉, 신뢰된 발신 인프라 + 삽입된 피싱 메시지라는 조합이 기존 피싱보다 훨씬 설득력을 높인다.
연구자들과 스팸 대응 단체의 보고
보도와 보안 연구에 따르면 이러한 악용은 수개월 동안 이어졌다.
보고된 내용에는 다음이 포함된다.
• Microsoft 알림 주소에서 여러 사용자에게 동일한 구조의 피싱 이메일이 발송된 사례
• 가짜 구매 알림, 결제 문제, 긴급 지원 요청 등의 사기 시나리오
• 일회용 Microsoft 365 테넌트를 대량으로 만들고 폐기하는 "burn‑and‑churn" 방식 운영
스팸 대응 커뮤니티와 보안 연구자들은 자동 알림 시스템의 높은 커스터마이즈 수준이 문제라며, 신뢰된 플랫폼 자체가 피싱 전달 채널로 악용될 수 있다고 경고했다.
또한 관련 보도 시점 기준으로 마이크로소프트가 정확한 기술적 원인을 공식적으로 확인하지는 않았다는 점도 언급됐다.
의심스러운 Microsoft 이메일을 구별하는 방법
발신 주소가 실제라고 해서 이메일 내용까지 신뢰할 수 있는 것은 아니다.
다음과 같은 신호가 보이면 주의해야 한다.
• 본인이 요청하지 않은 구매 또는 보안 경고
• 지금 바로 전화하라는 식의 긴급한 안내
• 결제 문제 해결을 요구하는 링크 클릭 요청
• 요청하지 않은 인증 코드 이메일
이런 메시지는 실제 Microsoft 주소에서 와도 피싱일 수 있다.
사용자 보호 방법
의심스러운 Microsoft 이메일을 받았다면 다음과 같이 대응하는 것이 안전하다.
• 이메일 안의 링크나 전화번호를 사용하지 않는다.
• 브라우저에 직접 공식 Microsoft 사이트 주소를 입력해 접속한다.
• 계정 대시보드에서 로그인 기록과 활동을 확인한다.
• 이메일 클라이언트에서 피싱으로 신고하거나 회사 보안팀에 전달한다.
• 이미 상호작용했다면 Microsoft 계정 비밀번호를 변경하고 로그인 기록을 확인한다.
이번 사례는 최근 사이버 범죄의 흐름을 보여준다. 공격자들은 더 이상 단순히 가짜 도메인을 만드는 데 그치지 않고, 신뢰받는 플랫폼의 정상 기능 자체를 공격 도구로 활용하고 있다. 이런 환경에서는 발신자 이름만으로 이메일을 신뢰하는 방식이 더 이상 충분한 방어가 되지 않는다.
helpnetsecurity.comThreat actors weaponize OAuth redirection logic to deliver ...
techcrunch.comScammers are abusing an official Microsoft email address to send ...
abnormal.aiHow Attackers Force Microsoft to Send Phishing Emails | Abnormal AI
thehackernews.comMicrosoft Warns OAuth Redirect Abuse Delivers Malware to ...
bleepingcomputer.comMicrosoft: Hackers abuse OAuth error flows to spread malware