MFA조차 무력화하는 새로운 피싱 캠페인 ‘조달 트랩’

캠페인의 주요 특징:

• 공격 벡터: 공격자는 합법적인 중소기업 웹사이트와 Outlook 계정을 장악해 피싱 링크를 호스팅하고 유포합니다 .
• 표적: 대학, 기업, 다국적 기관, 특히 유럽연합(EU)과 유엔(UN) 산하 기관을 노립니다 .
• 다양한 피싱 키트 사용: 위협 행위자는 여러 PhaaS(Phishing-as-a-Service) 키트를 돌아가며 사용합니다:
  • EvilProxy – SMS 코드, 인증 앱, 푸시 알림 등을 우회해 세션 쿠키를 가로채는 PhaaS 키트 .
  • FlowerStorm – 브라우저 기반 가상 머신 난독화를 도입해 이메일 방어를 회피하는 대규모 PhaaS .
  • Kali365 – 2026년 4월 처음 발견된 PhaaS 플랫폼으로, 텔레그램을 통해 유포되며 비밀번호나 MFA 코드 없이도 장치 코드 피싱으로 세션 토큰을 탈취합니다 .
• 대량 등록 알고리즘 도메인(RDGA) 을 사용해 피싱 URL을 빠르게 교체, 블랙리스트 기반 차단을 어렵게 만듭니다 .

공격 메커니즘 (기술적 원리)

공격자는 피해자와 정상 Microsoft 365 인증 서비스 사이에 중간자 역할을 하는 역방향 프록시 피싱 사이트를 구축합니다 . 피해자가 자격 증명을 입력하고 MFA를 완료하면, 프록시는 생성된 세션 쿠키가 피해자 브라우저에 도달하기 전에 가로챕니다. 공격자는 이 쿠키를 자신의 브라우저에 주입하여 피해자의 Exchange Online, SharePoint, OneDrive 및 모든 페더레이션 앱에 완전히 접근할 수 있게 됩니다 .

기존 피싱이 단순히 로그인 페이지를 복제해 자격 증명을 탈취하는 것과 달리, AiTM 프록시는 실시간 양방향 통신을 생성합니다 . 세션 토큰은 이미 MFA를 통과했다는 증명이므로, 공격자는 MFA 자체를 해독할 필요가 전혀 없습니다 .

기존 MFA가 충분하지 않은 이유

마이크로소프트 자체 문서에서도 AiTM 피싱이 SMS 코드, 인증 앱 푸시 알림, TOTP 토큰 같은 일반적인 MFA 방식을 무력화한다고 경고합니다 . MFA 완료 후 발급되는 세션 쿠키가 진정한 목표이며, 이를 탈취하면 토큰이 만료되거나 관리자가 강제로 해지할 때까지 전 세계 어디서든 재사용할 수 있습니다.

Infoblox 보고서는 AiTM 프록시가 MFA 완료 후 발급된 세션 토큰을 탈취하기 때문에 전통적인 MFA만으로는 부족하다고 강조합니다 . 근본적인 문제는 프록시가 사용자와 실제 인증 엔드포인트 사이에 위치하여, 기존 MFA가 이를 탐지할 수 없다는 아키텍처적 한계입니다.

Infoblox가 권장하는 MFA를 넘어선 방어책

Infoblox는 MFA를 단일 실패 지점으로 의존하지 않는 다계층 방어 전략을 권장합니다:

1. DNS 레이어 보안 – 악성 도메인과 신규 등록 알고리즘 도메인(RDGA)을 DNS 수준에서 차단하여 사용자가 피싱 인프라에 도달하기 전에 방해합니다 .
2. 피싱 저항성 자격 증명 – FIDO2/WebAuthn 하드웨어 보안 키 또는 Windows Hello for Business를 도입합니다. 이들은 특정 출처(오리진)에 바인딩된 공개 키 암호화를 사용합니다. AiTM 프록시는 FIDO2 챌린지를 전달할 수 없는데, 암호화 어서션이 합법적인 사이트의 도메인에 묶여 있기 때문입니다.
3. 조건부 액세스 정책 – Microsoft Entra ID에서 위험 기반 로그인 정책(토큰 바인딩 요구, 비정상 위치/장치 로그인 차단, 세션 수명 단축)을 시행하여 쿠키 재사용 기간을 최소화합니다.
4. 익스포저 관리 및 브랜드 모니터링 – 조직을 사칭하는 피싱 도메인을 사전 탐지하고, 사용자가 접하기 전에 인프라를 제거합니다 .
5. 보안 인식 및 신고 훈련 – 사용자가 조달 관련 피싱 이메일을 인지하고 신고하도록 교육하여 SOC 대응 속도를 높입니다.

FBI는 특히 Kali365와 관련해 조직이 MFA 방식을 감사하고, 비정상적인 장치 코드 흐름을 로그에서 검토하며, 신뢰할 수 있는 애플리케이션을 제외한 모든 사용자에 대해 장치 코드 인증을 차단하도록 권고했습니다 .

증거의 한계와 범위

Infoblox 보고서 는 캠페인 이름, EU/UN 기관 표적, 해킹된 Outlook 메일함 및 중소기업 사이트 사용에 대한 주요 출처입니다. 2차 보도 도 표적과 키트 순환을 독립적으로 확인합니다.

Kali365 구성 요소는 FBI PSA 와 보안 업체 Huntress , Paubox 가 독립적으로 확인했지만, Infoblox 보고서는 이를 EvilProxy 및 FlowerStorm과 함께 동일한 조달 테마 인프라로 분류했습니다.

방어 권장 사항은 Infoblox 보고서의 직접적인 언급 과 여러 출처에서 확인된 업계 표준 모범 사례 를 종합한 것입니다.

결론

'조달 트랩'은 위협 행위자가 더 이상 MFA를 해독하려 하지 않고, 인증 성공 후 발급된 세션 쿠키를 훔쳐 완전히 우회하는 추세를 보여줍니다. FIDO2 하드웨어 키, DNS 레벨 도메인 차단 등의 기술적 대응책이 노출을 크게 줄일 수 있지만, 가장 중요한 첫 번째 방어선은 사용자의 경계심입니다. Microsoft 365를 사용하는 조직은 인증 로그에서 비정상적인 장치 코드 또는 AiTM 패턴을 검토하고, 피싱 저항성 자격 증명 도입을 최우선으로 고려해야 합니다.