답변게시됨23 소스
커넥트와이즈 클라우드 백업 침해, 관리자 대응은?
헌트리스는 커넥트와이즈 클라우드 백업 앱의 자격 증명이 악용돼 마이크로소프트 365 파트너·고객 테넌트 173곳에서 비인가 로그인이 확인됐다고 밝혔습니다. 공격은 사용자 계정이 아닌 애플리케이션 계정으로 이뤄져 사용자 MFA가 해당 인증 흐름에 적용되지 않았습니다.
게시자GPT-6 Luna로 편집GPT Image 2로 이미지 생성
연구 답변
주요 시사점
- 헌트리스는 커넥트와이즈 클라우드 백업 앱의 자격 증명이 악용돼 마이크로소프트 365 파트너·고객 테넌트 173곳에서 비인가 로그인이 확인됐다고 밝혔습니다.
- 공격은 사용자 계정이 아닌 애플리케이션 계정으로 이뤄져 사용자 MFA가 해당 인증 흐름에 적용되지 않았습니다.
- 관리자는 영향을 받은 앱을 비활성화하고, 다른 앱에 추가된 수상한 자격 증명과 디렉터리 역할 변경도 살펴봐야 합니다.
AI 프롬프트
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
커넥트와이즈 클라우드 백업(구 스카이킥)의 자격 증명이 유출돼 공격자가 고객사의 마이크로소프트 365 환경에 접근한 것으로 조사됐습니다. 헌트리스는 파트너 및 고객 테넌트 173곳에서 비인가 로그인을 확인했습니다. 다만 이 숫자는 173곳 모두에서 데이터가 탈취됐다는 의미가 아니며, 전체 피해 규모와 최초 자격 증명 유출 경위도 아직 밝혀지지 않았습니다. 1
6
9
기존에 허용된 앱 권한이 통로가 됐다
마이크로소프트는 이번 사건을 신뢰받던 OAuth 애플리케이션이 침해된 공급망 공격으로 추적하고 있습니다. 고객은 클라우드 백업 앱이 각자의 환경에서 작동하도록 이미 다중 테넌트 앱에 권한을 부여한 상태였습니다. 조사 당국은 공격자가 그 권한을 이용해 여러 테넌트에서 마이크로소프트 그래프 액세스 토큰을 발급받은 것으로 보고 있습니다. 권한에는 Directory.ReadWrite.All처럼 디렉터리에 폭넓게 접근할 수 있는 항목도 포함됐습니다. 9
15
헌트리스가 집계한 비인가 로그인은 10월 16일 19시(UTC) 기준 162개 테넌트에서, 이후 업데이트에서 173개로 늘었습니다. 이는 확인된 로그인 건수에 관한 집계이지, 최종 피해 조직 수나 각 테넌트의 정보 탈취를 확정하는 수치는 아닙니다. 1
6
9
의심 IP와 로그인 흐름
헌트리스는 10월 15일 06시 13분부터 08시 34분(UTC) 사이, 144.172.64[.]128에서 해당 앱이 마이크로소프트 그래프 토큰을 발급받은 정황을 관찰했습니다. 짧은 시간에 여러 테넌트로 빠르게 이동한 패턴은 자동화된 활동을 시사했습니다. 같은 IP에서는 10월 13일과 14일에도 로펌 테넌트 4곳을 대상으로 한 비밀번호 스프레이 시도가 있었지만, 이 정황만으로 클라우드 백업 자격 증명이 어떻게 유출됐는지는 알 수 없습니다. 1
5
20
사용자 MFA가 막지 못한 이유
이번 활동은 개인 사용자 계정이 아니라 서비스 주체라고도 부르는 애플리케이션 계정으로 인증됐습니다. 따라서 사용자 MFA는 해당 앱 로그인 흐름에 적용되지 않았습니다. 이는 공격자가 사용자 계정의 MFA를 우회했다는 뜻과는 다릅니다. 7
11
앱에 부여된 권한으로는 메일, 원드라이브, 셰어포인트, 팀즈, 디렉터리 데이터 등에 접근할 가능성이 있었습니다. 하지만 접근 가능한 권한의 범위가 실제 데이터 열람을 입증하는 것은 아닙니다. 토딜은 자신들이 조사한 9개 테넌트에서 비인가 로그인을 확인했지만, 이 제한된 조사 결과만으로 다른 테넌트에서 무슨 일이 있었는지 단정할 수는 없습니다. 6
19
29
추가 권한과 자격 증명도 점검해야
헌트리스는 거의 50개 테넌트에서 디렉터리 역할이 자체 할당된 정황을 보고했습니다. 관찰된 사례 중 하나에서는 팀즈 관리 앱이 스스로 글로벌 관리자 역할을 부여하고, MSP의 관리 도구 앱과 헌트리스 앱을 포함한 다른 앱에 자격 증명을 추가했습니다. 이 자격 증명은 최초 클라우드 백업 연동과 별개의 접근 경로가 될 수 있습니다. 1
9
따라서 공급업체 앱 연결을 끊는 것만으로 침입 과정에서 만들어진 모든 변경이 해결된다고 볼 수 없습니다. 관리자는 낯선 앱 비밀값·자격 증명과 예상치 못한 역할 할당도 확인해야 합니다. 1
13
백업 데이터와 아직 모르는 점
커넥트와이즈는 파트너의 백업 데이터가 접근됐다는 징후는 없으며, 서비스 복구 후 기존 백업 아카이브를 이용할 수 있을 것이라고 밝혔습니다. 이 설명은 백업 아카이브에 관한 것이며, 마이크로소프트 365에 저장된 고객 데이터까지 안전했다는 의미는 아닙니다. 당시 공개된 업데이트에는 복구 날짜도 제시되지 않았습니다. 4
19
커넥트와이즈는 10월 17일 업데이트에서 영향을 받은 앱 연결에 쓰인 인증서를 폐기하고, 클라우드 백업의 공유 자격 증명을 무효화했다고 밝혔습니다. 서비스 중단과 자격 증명 조치는 확산을 억제하기 위한 대응이지, 최종 피해 규모를 확정한 결과는 아닙니다. 3
현재 공개된 조사 내용만으로는 영향을 받은 조직의 전체 수, 실제 정보 탈취 범위, 최초 자격 증명이 침해된 경위를 확인할 수 없습니다. 보안 업체마다 조사한 테넌트가 다르므로 한 업체의 관찰 결과를 전체 환경의 완전한 현황으로 간주해서도 안 됩니다. 1
9
19
마이크로소프트 365 관리자가 할 일
- 영향을 받은 앱은 비활성화하고 증거를 보존하세요. 헌트리스는 영향을 받은 조직에 앱 비활성화를 권고했습니다. 관련 로그인 기록과 역할·자격 증명 변경을 검토하기 전에 앱을 삭제하지 말고, 재연결 전에는 최신 공급업체 안내와 사고 대응 지침을 따르세요.
9
13
- 클라우드 백업 앱에만 점검을 국한하지 마세요. 10월 13일 이후 다른 앱에 추가된 낯선 비밀값이나 자격 증명, 알 수 없는 역할 할당이 있는지 살펴보세요. 공급업체 자격 증명 교체나 서비스 중단만으로 다른 앱에 심어진 자격 증명이 자동 제거되지는 않습니다.
1
- 앱 로그인 기록을 사용자 로그인과 별도로 조사하세요. 이번 활동은 애플리케이션 계정으로 이뤄졌으므로 사용자 MFA 기록만 확인해서는 충분히 평가할 수 없습니다.
7
- 감사 기록이 없다고 접근이 없었다고 단정하지 마세요. 일부 마이크로소프트 그래프 디렉터리 읽기 작업은 디렉터리 감사 로그에 남지 않을 수 있어, 기록이 보이지 않는다는 사실만으로 접근이나 정찰이 없었다고 입증할 수는 없습니다.
이번 사건은 신뢰받는 외부 연동 앱 하나가 고객 여러 곳의 환경에 걸쳐 상당한 권한을 가질 수 있음을 보여줍니다. 데이터 탈취가 확정되지 않은 환경이라도 비인가 앱 로그인과 지속 접근을 위한 변경이 보고된 만큼, 관리자는 관련 권한과 자격 증명을 조사할 필요가 있습니다. 9
15
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
사람들은 또한 묻습니다.
"커넥트와이즈 클라우드 백업 침해, 관리자 대응은?"에 대한 짧은 대답은 무엇입니까?
헌트리스는 커넥트와이즈 클라우드 백업 앱의 자격 증명이 악용돼 마이크로소프트 365 파트너·고객 테넌트 173곳에서 비인가 로그인이 확인됐다고 밝혔습니다.
먼저 검증할 핵심 포인트는 무엇인가요?
헌트리스는 커넥트와이즈 클라우드 백업 앱의 자격 증명이 악용돼 마이크로소프트 365 파트너·고객 테넌트 173곳에서 비인가 로그인이 확인됐다고 밝혔습니다. 공격은 사용자 계정이 아닌 애플리케이션 계정으로 이뤄져 사용자 MFA가 해당 인증 흐름에 적용되지 않았습니다.
실무에서는 다음으로 무엇을 해야 합니까?
관리자는 영향을 받은 앱을 비활성화하고, 다른 앱에 추가된 수상한 자격 증명과 디렉터리 역할 변경도 살펴봐야 합니다.