만능 마스터키가 털렸다: 커넥트와이즈 앱 신원 유출과 M365 테넌트 300곳 침해 사건의 전말

백도어가 된 백업 앱: 고객사 비밀번호 없이 열린 마이크로소프트 365 관리자 권한

아파트 단지 전체의 배관과 전기를 점검하는 외부 시설 관리 업체가 있다고 가정해 보자. 관리 직원은 매번 입주민에게 문을 열어달라고 부탁할 수 없기에, 비상시 모든 세대 문을 열 수 있는 마스터 전자키를 들고 다닌다. 그런데 어느 날 밤, 관리 업체 사무실에 침입한 도둑이 이 마스터키의 암호화 칩을 복제해 달아났다. 도둑은 입주민 개개인의 비밀번호를 알아낼 필요도 없이, 관리자용 마스터키를 태그해 수백 가구의 문을 열고 들어가 귀중품을 뒤적이기 시작했다.

2026년 10월 중순, 글로벌 IT 관리 플랫폼 커넥트와이즈(ConnectWise)를 덮친 침해 사고의 본질이 바로 이와 같다. 커넥트와이즈는 10월 17일 07:00 UTC를 기해 자사의 핵심 애플리케이션 신원 7개를 긴급 차단하고, 전 세계 고객사를 대상으로 클라우드 백업(Cloud Backup) 서비스 운영을 전면 중단했다. 해커가 커넥트와이즈의 백업 연동용 애플리케이션 자격 증명을 가로챈 뒤, 이를 발판 삼아 고객사들의 마이크로소프트 365(이하 M365) 및 엔트라 ID(Entra ID, 구 Azure AD) 환경으로 곧바로 침투한 사실이 확인되었기 때문이다.

이번 사건이 일반적인 계정 탈취보다 훨씬 치명적인 이유는 공격 방식의 구조적 특성에 있다. 해커는 개별 직원의 계정 비밀번호나 다중 인증(MFA)을 뚫을 필요가 전혀 없었다. 커넥트와이즈 백업 소프트웨어는 고객사의 아웃룩 이메일, 팀즈(Teams) 메신저 대화, 셰어포인트(SharePoint) 기밀 문서를 주기적으로 저장해야 하므로, 시스템 내부에서 가장 높은 수준의 데이터 접근 권한을 기본으로 부여받는다. 해커는 소프트웨어 신원 자체로 위장하여 고객사 M365 환경에 접속했고, 클라우드 안에서 최고 관리자 권한을 추가하거나 또 다른 백도어용 시크릿(비밀 값)을 만들어 심어 두었다.

커넥트와이즈는 10월 14일 자체 감시 시스템을 통해 이상 징후를 처음 감지한 뒤 조사에 착수했다. 하지만 서비스 연동을 일방적으로 끊는 것만으로는 이미 뚫린 고객사 환경의 안전을 담보하기 어렵다. 커넥트와이즈 측이 공식 발표를 통해 밝혔듯, 연결을 끊는 조치는 ‘새로운 로그인’을 막아줄 뿐이며, 해커가 고객사 테넌트 안에서 몰래 바꿔치기해 둔 권한이나 새로 만든 백도어는 그대로 남아있기 때문이다.

1,000번의 타격과 300곳의 빗장 풀림: 침해 현황 및 공격 지표 비교

글로벌 보안 관제 기업 헌트리스(Huntress)의 추적 데이터에 따르면, 해커는 특정 IP 주소(144.172.64[.]128)를 거점으로 삼아 대규모 공격을 단행했다. 단순 무차별 대입 공격이 아니라, 커넥트와이즈의 유출된 앱 자격 증명을 사용해 권한을 가진 테넌트만 콕 집어 침투하는 치밀함을 보였다.

조사 결과 약 1,000곳에 달하는 M365 테넌트에 악의적인 접속 시도가 발생했고, 이 중 300여 개 테넌트에서 실제 로그인이 성공했다. 나머지 700곳은 로그인은 시도되었으나 해당 테넌트 안에 커넥트와이즈의 서비스 주체(Service Principal)가 활성화되어 있지 않아 침입이 차단되었다.

더욱 주목할 점은 10월 15일 오후에 이어진 2차 타깃 공격이다. 공격자는 정책, 국가안보, 국제 무역, 핵심 광물 분야에 속한 16개 핵심 기관의 테넌트를 선별해 수동으로 집중 타격을 가했다. 스카이킥(SkyKick) 앱의 마이크로소프트 그래프(Graph) 토큰을 노린 1차 시도에 이어, 익스체인지 온라인, 셰어포인트, 팀즈, 애저 리소스 매니저 API를 전방위로 훑었다. 다행히 이 16개 핵심 기관 침투는 실패로 끝났으나, 공격자가 단순한 금전 갈취를 넘어 국가 단위의 전략적 기밀 정보 수집을 겨냥했음을 방증한다.

실무 현장의 피해 비용을 업계 평균 단가 기준으로 계산해 보면 그 파장은 숫자로 명확히 드러난다. 테넌트 1곳당 침해 사고 조사(포렌식) 및 비인가 자격 증명 전수 검사에 투입되는 외부 보안 전문 인력 비용은 테넌트 규모에 따라 15,000달러에서 45,000달러 선이다. 300개 침해 고객사 전체로 환산하면, 단순 내부 감사 및 초기 정격 복구 비용으로만 최소 450만 달러(약 62억 원) 이상의 긴급 지출이 발생하는 셈이다. 여기에 백업 기능 정지에 따른 업무 차질 비용은 포함되지도 않았다.

전산망 올스톱과 보이지 않는 백도어: 기업 현장을 덮친 3대 현실 위협

이번 사태는 소프트웨어 하나가 멈추는 데서 끝나지 않는다. 클라우드 관리 도구를 믿고 맡겼던 기업의 일상 업무와 보안 신뢰도에 치명적인 균열을 냈다.

운영 비용(OPEX)의 폭증: 끝없는 수동 전수 검사와 외부 감사 지출

커넥트와이즈가 연동을 차단했더라도 고객사 전산팀의 업무는 이제 시작이다. 해커가 테넌트에 머문 시간 동안 무슨 짓을 했는지 일일이 뒤져야 하기 때문이다. 헌트리스가 확인한 바에 따르면, 해커는 테넌트 내부의 다른 정상적인 앱에 새로운 시크릿(인증 암호)을 덧붙이거나, 전역 관리자(Global Administrator) 권한을 가진 유령 계정을 몰래 생성했다. 이러한 백도어는 커넥트와이즈 콘솔에서는 보이지 않고 고객사 자체 엔트라 ID 관리 화면에서만 잡힌다. 결국 기업은 사내 전산 인력을 야근에 투입하거나 외부 포렌식 업체를 불러 수천 개의 앱 등록 상태와 감사 로그를 한 줄씩 뜯어봐야 하므로 막대한 비계획 운영비가 지출된다.

복구 지연(Lead Time)의 덫: 백업 중단에 따른 무방비 상태 지속

커넥트와이즈는 피해 확산을 막기 위해 클라우드 백업 서비스뿐 아니라 서비스형 소프트웨어 보안(SaaS Security) 및 클라우드 관리 도구까지 오프라인으로 전환했다. 기존 백업 데이터는 암호화된 채로 안전하게 보관되어 있다고 하지만, 문제는 ‘지금 이 순간’ 신규 백업이 전혀 실행되지 않는다는 점이다. 복원 기능 역시 차단되었다. 만약 이 틈을 타 다른 랜섬웨어나 데이터 삭제 사고가 발생한다면 최신 데이터를 복구할 방법이 없다. 평소 15분 단위로 이루어지던 데이터 동기화가 무기한 정지되면서 시스템 복구 대기 시간이 통제 불능 상태로 늘어났다.

공급망 관리 체계 붕괴: 서드파티 소프트웨어에 대한 신뢰 실추

많은 기업이 IT 관리와 백업을 외주 전문 플랫폼에 맡긴 이유는 자체 서버를 구축하는 번거로움을 줄이고 보안을 강화하기 위함이었다. 그러나 이번 사건은 가장 믿었던 공급업체의 신원 정보가 해커의 진입로가 될 수 있음을 증명했다. 특히 팀즈나 셰어포인트처럼 임직원의 일상적인 기밀 대화와 사업 문서가 오가는 통로가 노출되었을 가능성이 확인되면서, 고객사와 파트너사 간의 계약 해지 및 법적 책임 공방이 본격화되고 있다.

허술한 앱 권한을 틀어막는 클라우드 완충벽: 엔트라 ID 방어 전략

외부 백업 도구가 침해당하더라도 우리 회사의 클라우드 테넌트 전체가 장악당하는 사태를 막으려면 어떻게 해야 할까? 이번 사고에서 700여 개 테넌트가 공격을 막아낼 수 있었던 핵심 요인과, 선도적인 IT 조직들이 적용하고 있는 완충 장치를 살펴볼 필요가 있다.

핵심 완충 장치는 마이크로소프트 엔트라 ID의 ‘앱 관리 정책(Application Management Policy)‘이다. 많은 기업이 계정 로그인에는 이중 인증을 걸어두면서도, 백그라운드에서 시스템끼리 통신하는 서비스 주체나 앱 등록(App Registration)에는 별다른 제약을 두지 않는다.

해커는 이 빈틈을 파고들어 앱 자격 증명을 손에 넣은 뒤 테넌트 안에서 새로운 키를 무한정 찍어냈다. 그러나 테넌트 수준에서 앱 관리 정책을 활성화해 두면, 특정 앱이 새로운 클라이언트 시크릿을 발급받거나 수명을 늘리는 행위 자체를 원천 봉쇄할 수 있다.

또한 인프라 감시 관점에서는 외부 연동 앱이 평소에 호출하지 않던 비정상적인 API를 두드리는 순간을 실시간으로 감지해야 한다. 클라우드 전반의 성능과 보안 로그를 통합 분석하는 Datadog 같은 모니터링 환경을 사전에 연동해 둔 기업들은, 평소 새벽 시간에 발생하지 않던 대량의 사용자 권한 조회나 그래프 API 호출 급증을 즉각 감지하고 경보를 울려 피해를 사전에 차단할 수 있었다.

긴급 점검 및 피해 복구를 위한 실무 대응 3단계 방어선

커넥트와이즈 제품을 사용 중이거나 과거에 연동한 적이 있는 조직이라면, 공급업체의 공식 공지만 기다려서는 안 된다. 지금 당장 테넌트 내부를 직접 조사하고 위험 요소를 도려내야 한다.

1차 방어선: 즉각적인 비인가 자격 증명 및 시크릿 스크리닝

가장 먼저 수행할 작업은 테넌트 내부의 ‘숨은 빗장’을 찾는 일이다. 해커는 커넥트와이즈 앱 연결이 끊어질 것을 대비해 테넌트 내 다른 엔터프라이즈 애플리케이션에 자체 클라이언트 시크릿을 심어두었을 가능성이 매우 높다.

• 최근 생성된 자격 증명 감사: 마이크로소프트 엔트라 관리 센터의 감사 로그에서 2026년 10월 14일 이후 발생한 ‘Add service principal credentials’ 및 ‘Update application – Certificates and secrets management’ 이벤트를 전수 추적하라.
• 알 수 없는 신규 앱 제거: 관리자가 승인하지 않은 신규 앱 등록 내역이 있는지 확인하고, 발견 즉시 서비스 주체를 비활성화하거나 삭제하라.
• 비인가 IP 접근 로그 대조: 공격에 사용된 주요 IP 대역(144.172.64[.]128 등)에서 발생한 서비스 주체 로그인 기록(Service Principal Sign-ins)을 필터링하여 접근 성공 여부를 확인하라.

2차 방어선: 대체 공급망 점검 및 기존 토큰 강제 무효화

커넥트와이즈가 연동용 인증서를 폐기했더라도, 이미 발급되어 메모리에 남아있는 접속 토큰은 유효기간이 끝날 때까지 동작할 수 있다.

• 토큰 무효화 조치: 파워셸(PowerShell)의 Revoke-MgUserSignAndSession 명령 또는 엔트라 관리 콘솔을 통해 의심스러운 서비스 계정 및 관리자 계정의 세션을 강제로 초기화하라.
• 고권한 앱의 역할 축소: 커넥트와이즈 관련 앱에 부여되었던 ‘Global Administrator’ 또는 ‘RoleManagement.ReadWrite.Directory’ 같은 초고위험 권한을 즉시 회수하라. 백업에 꼭 필요한 권한이라도 공식 조사가 끝나고 안전이 입증될 때까지는 비활성화 상태를 유지해야 한다.
• 임시 대체 백업 경로 수립: 커넥트와이즈 클라우드 백업이 멈춰 있는 동안 핵심 데이터가 유실되지 않도록, 격리된 내부 스토리지나 검증된 별도 경로를 활용한 긴급 데이터 복사본 생성 체계를 임시 가동하라.

3차 방어선: 지속적인 권한 운영 관리 규칙 및 앱 수명 관리 확립

사고 수습 후에는 동일한 공급망 사고가 재발하지 않도록 시스템 뼈대를 보강해야 한다.

• 앱 관리자 역할 보유자 최소화: 테넌트 내에서 ‘Application Administrator’ 및 ‘Cloud Application Administrator’ 역할을 가진 계정 수를 최소한으로 줄여라. 이 권한을 가진 계정이 뚫리면 공격자가 마음대로 새 앱을 만들어 테넌트를 접수할 수 있다.
• 앱 자격 증명 유효기간 상한선 설정: 테넌트 내 등록되는 모든 앱 시크릿의 최대 수명을 90일 이내로 제한하고, 주기적으로 자동 갱신되도록 구성하라.
• 조건부 액세스 정책 확장: 가능한 경우 워크로드 ID용 조건부 액세스(Conditional Access for Workload Identities)를 적용하여, 승인된 IP 대역 외부에서 발생하는 백그라운드 앱 로그인을 원천 차단하는 방어막을 완성하라.