Storm‑2949 공격: 비밀번호 재설정이 클라우드 전체 침해로 확장된 과정

공격자가 하나의 계정—특히 권한이 높은 계정—에 접근하면 다음과 같은 방식으로 조직의 클라우드 환경을 확장적으로 침투했다.

• Microsoft 365 서비스 접근
• Azure 관리 기능 사용
• 클라우드 리소스 및 데이터 저장소 접근

이 방식은 정상적인 관리 활동처럼 보이기 때문에 기존의 보안 솔루션이 탐지하기 어렵다.

핵심 공격 지점: Self‑Service Password Reset(SSPR)

공격 체인의 핵심 단계는 Microsoft Entra의 Self‑Service Password Reset(SSPR) 기능이었다.

SSPR은 사용자가 IT 지원 없이 스스로 비밀번호를 재설정할 수 있게 하는 기능이다. 하지만 Storm‑2949는 이 절차를 사회공학과 결합해 공격 경로로 활용했다.

공격 과정은 다음과 같이 진행됐다.

• 공격자가 내부 IT 지원팀을 사칭해 직원에게 연락한다.
• 피해자에게 “확인 절차”라며 인증 알림을 승인하라고 요청한다.
• 실제로는 공격자가 시작한 비밀번호 재설정 과정에서 발생한 MFA 요청이었다.

피해자가 이를 승인하면 공격자는 비밀번호 재설정 절차를 완료할 수 있었다.

이후 공격자는 다음 단계를 진행했다.

• 사용자 비밀번호 재설정
• 기존 인증 방법(전화번호·이메일·Authenticator 등) 제거
• 자신의 Microsoft Authenticator 장치 등록

이렇게 되면 정상 사용자는 계정에서 완전히 차단되고, 공격자는 MFA가 적용된 상태로 지속적인 접근 권한을 확보하게 된다.

단일 계정 탈취가 클라우드 전체 침해로 확장된 이유

계정 장악 이후 Storm‑2949는 조직의 클라우드 자원으로 빠르게 이동했다.

특히 공격 대상이 IT 관리자나 고위 임원 같은 고권한 사용자인 경우가 많았기 때문에, 공격자는 다양한 Microsoft 서비스에 접근할 수 있었다.

확인된 주요 목표는 다음과 같다.

• SharePoint와 OneDrive의 문서 및 파일
• Azure에 호스팅된 운영 환경
• 클라우드 스토리지와 데이터베이스
• Azure Key Vault 같은 비밀 관리 서비스

이 사례는 클라우드 보안에서 자주 언급되는 사실을 다시 보여준다.

클라우드에서 가장 중요한 보안 경계는 소프트웨어가 아니라 ‘계정 권한’이다.

권한이 높은 계정 하나가 탈취되면 연결된 여러 서비스가 동시에 노출될 수 있다.

Microsoft가 SMS 인증을 폐지하는 이유

Storm‑2949 같은 공격이 증가하는 가운데 Microsoft는 개인 Microsoft 계정에서 SMS 인증 코드를 단계적으로 중단하겠다고 발표했다.

회사 측은 SMS 기반 인증이 다음과 같은 이유로 점점 위험해지고 있다고 설명한다.

• SIM 스와핑 공격으로 전화번호 탈취 가능
• 통신 인프라에서 메시지 가로채기 가능
• 사회공학으로 인증 코드 유출 가능

SMS 코드는 피싱이 가능하고 다른 기기로 쉽게 전달될 수 있는 인증 방식이기 때문에 최신 보안 기준에서는 상대적으로 취약한 것으로 평가된다.

대신 Microsoft는 다음과 같은 인증 방식을 권장하고 있다.

• 패스키(passkeys)
• Microsoft Authenticator 앱
• 검증된 보조 이메일

패스키는 기기 내부에 저장된 암호키와 생체인증 또는 PIN을 활용하기 때문에 원격 피싱 공격에 훨씬 강하다.

Microsoft가 조직에 권장하는 보안 대책

Storm‑2949 사례는 클라우드 환경에서 **신원 기반 공격(identity attack)**이 얼마나 큰 위험이 될 수 있는지를 보여준다. Microsoft는 다음과 같은 보안 조치를 권장한다.

1. 피싱 저항형 MFA 사용

패스키나 하드웨어 보안 키 같은 피싱 저항형 MFA를 관리자 계정과 고권한 계정에 적용해야 한다.

2. 최소 권한 원칙 적용(RBAC)

역할 기반 접근 제어(RBAC)를 통해 사용자가 업무에 필요한 최소 권한만 갖도록 설정해야 한다. 이는 계정 탈취 시 피해 범위를 줄이는 핵심 전략이다.

3. 비밀번호 재설정 절차를 고위험 영역으로 관리

SSPR 같은 계정 복구 기능은 편리하지만 공격 경로가 될 수 있다. 특히 관리자 계정의 경우 더욱 엄격한 모니터링이 필요하다.

4. 클라우드 제어 영역 활동 모니터링

보안 팀은 다음 이벤트를 지속적으로 모니터링해야 한다.

• 인증 및 로그인 이벤트
• 비밀번호 재설정 활동
• Microsoft 365 데이터 접근
• Azure 관리 작업 및 관리 API 호출

이러한 로그와 모니터링 체계는 공격 초기에 이상 징후를 발견하는 데 중요한 역할을 한다.

핵심 교훈: 클라우드 보안의 중심은 ‘계정’

Storm‑2949는 현대 사이버 공격이 어떻게 변화했는지를 보여준다. 공격자는 더 이상 취약한 소프트웨어를 찾거나 악성코드를 배포하는 데만 의존하지 않는다.

대신 계정 인증 시스템과 복구 절차 같은 ‘신원 인프라’ 자체를 공격 표적으로 삼는다.

특히 권한이 높은 계정 하나가 탈취되면 조직의 전체 클라우드 생태계가 위험해질 수 있다. 따라서 클라우드 환경에서는 다음 세 가지가 핵심 보안 전략이 된다.

• 강력한 인증 체계 구축
• 최소 권한 접근 제어
• 계정 및 관리 활동의 지속적인 모니터링

Storm‑2949 사건은 클라우드 시대에 **“보안의 핵심은 결국 계정 관리”**라는 사실을 다시 한번 보여준 사례로 평가된다.