외부 채팅 열린 팀즈로 침투한 가짜 전산팀: 메일 폭탄과 원격 제어로 랜섬웨어를 심는 4단계 수법

메일함 마비 직후 날아온 전산팀 팀즈 메시지: 신뢰를 무너뜨리는 4단계 심리 공격의 전말

월요일 아침 출근 직후 회사 메일함을 열었을 때 수백 건의 해외 뉴스레터 가입 확인 메일이 쏟아져 들어온다면 누구나 당황한다. 화면을 새로고침할 때마다 수십 통씩 쌓이는 스팸 메일 더미에 정신이 팔려 있을 때, 화면 오른쪽 아래에서 익숙한 업무용 메신저 알림이 울린다. 보낸 사람의 이름은 ‘IT Support (Internal)’. 프로필 사진과 부서 이름까지 영락없는 사내 전산 지원팀이다. 담당자는 “현재 귀하의 계정에서 대량의 비정상 메일 발송이 감지되었습니다. 사내 시스템 보호를 위해 즉시 점검이 필요하니 안내에 따라 주십시오”라는 다급한 메시지를 건넨다.

피해자는 의심 없이 전산팀의 지시를 따른다. 메일함이 실제로 마비되어 눈앞에서 경고 신호를 보내고 있기 때문이다. 하지만 이 메시지를 보낸 주체는 사내 전산실 직원이 아니다. 마이크로소프트 365(Microsoft 365)의 기본 설정을 파고든 해킹 조직이다. 글로벌 보안 연구진 아틱울프 랩스(Arctic Wolf Labs)가 발표한 최신 위협 분석 보고서에 따르면, 최근 수백 건의 기업 침해 사고에서 이와 똑같은 방식의 사회공학적 사기 수법이 반복해서 확인되었다.

해커들은 소프트웨어의 취약점을 복잡하게 뚫고 들어가지 않는다. 대신 기업들이 업무 편의를 위해 켜둔 마이크로소프트 팀즈(Microsoft Teams)의 ‘외부 사용자 통신’ 기능을 정문 삼아 걸어 들어온다. 팀즈는 기본 설정 상태에서 외부 테넌트 사용자가 사내 임직원 이메일 주소만 알면 다이렉트 메시지를 보낼 수 있도록 허용하는 경우가 많다. 공격자들은 이 빈틈을 이용해 스스로 가짜 회사를 차리듯 마이크로소프트 365 계정을 새로 만든 뒤, 사내 기술 지원팀을 사칭해 피해자에게 말을 건다.

이 공격의 핵심은 정교한 상황 연출이다. 먼저 피해자의 메일함에 무차별적으로 구독 확인 메일을 쏟아붓는 메일 폭탄(Mail Bombing)을 터뜨려 긴급한 상황을 만든다. 피해자가 이성을 잃고 당황하는 바로 그 순간 구원투수를 자처하며 팀즈 메시지를 보낸다. 기술적 침투와 심리적 압박이 결합하면서 피해 기업의 보안 경계벽은 허무하게 무너진다.

사칭 도메인의 40%가 마이크로소프트 기본 주소: 공격 인프라 구성 데이터 분석

공격자들은 보안 탐지망을 피하기 위해 마이크로소프트 자체 인프라를 방패로 삼는다. 아틱울프 랩스가 조사한 수백 건의 공격 사례를 살펴보면, 공격자가 생성한 가짜 계정 중 약 30–40%가 마이크로소프트가 기본으로 발급하는 임시 도메인(*.onmicrosoft.com)을 그대로 사용했다.

마이크로소프트 365에 새 관리자 계정을 만들면 시스템이 고유 식별 주소를 자동으로 부여하는데, 해커들은 여기에 ‘support-helpdesk’나 ‘it-admin’ 같은 단어를 교묘하게 조합해 넣었다. 팀즈 화면 상단에 ‘외부 사용자’라는 경고 문구가 뜨더라도, 도메인 끝자리가 신뢰할 수 있는 onmicrosoft.com으로 끝나다 보니 실무진이 정상적인 전산 시스템 메시지로 오인한 것이다.

유료 도메인을 직접 구매해 사용한 사례에서도 명확한 패턴이 드러났다. 유료 도메인 공격 사례의 절반(50%)은 가격이 매우 저렴한 최상위 도메인인 .top을 사용했다. 표준 .com 도메인을 사용한 비중은 약 40%였으며, 브라질(.com.br)이나 베트남(.com.vn), 폴란드(.com.pl) 같은 다단계 국가 도메인을 사용한 비중도 5% 이상 관측되었다.

보안 업계는 이 공격 배후에 STAC4749로 분류된 사이버 범죄 조직이 깊숙이 관여한 것으로 보고 있다. 이들은 피해 기업의 회사 이름을 표시 이름(Display Name)에 강제로 집어넣어 “회사명 IT Support (Internal)” 형태로 표시되도록 조작했다. 보안 링크 자동 검사 시스템(Safe Links)이 채팅창에 올라오는 수상한 인터넷 주소를 걸러낸다는 점을 이미 알고 있는 공격자들은, 팀즈 채팅창에 악성 링크를 아예 올리지 않는 치밀함을 보였다.

기업 전산망과 업무 환경을 파괴하는 3대 연쇄 타격

외부 채팅 기능을 무방비로 열어둔 대가는 단순한 피싱 피해로 끝나지 않는다. 엔드포인트 PC 하나가 뚫리는 순간 기업의 업무 연속성과 인프라 전체가 연쇄적으로 무너져 내린다.

복구 비용과 몸값 협상으로 치솟는 비상 운영 지출

공격자가 사내 단말기에 손을 대는 순간부터 발생하는 지출은 천문학적이다. 보안 전문 기업 소포스(Sophos)의 분석에 따르면, 이번 팀즈 사칭 공격의 최종 단계에서는 카오스(Chaos) 랜섬웨어가 배포되는 사례가 다수 확인되었다. 랜섬웨어에 감염되면 파일 복구를 위해 수억 원대의 몸값(Ransom) 요구에 직면할 뿐만 아니라, 침해 사고 조사를 위한 디지털 포렌식 전문 인력 투입 비용, 시스템 재구축 비용이 추가로 발생한다.

실무 시뮬레이션 추정에 따르면, 임직원 300명 규모의 중견기업이 랜섬웨어 공격으로 전산망이 일주일간 마비될 경우 발생하는 유무형의 직접 손실액은 평균 4억–8억 원에 달한다. 단순한 방화벽 점검이나 보안 교육 미비로 치부하기에는 기업 재무에 가해지는 타격이 지나치게 크다.

초기 침투부터 전사 전파까지 단 몇 시간 만에 끝나는 공격 주기

이번 공격의 가장 위험한 특징은 체류 시간(Dwell Time)이 극단적으로 짧다는 점이다. 기존의 지능형 지속 위협(APT) 공격이 내부망 침투 후 몇 주 동안 숨죽이며 기회를 엿보았다면, 이번 공격자들은 피해자의 PC를 원격으로 제어하는 즉시 속전속결로 움직인다.

원격 접속 권한을 얻은 공격자는 백그라운드에서 파워셸(PowerShell) 명령어를 실행해 애저 블롭 스토리지(Azure Blob Storage)에서 악성 설치 파일(MSI)을 내려받는다. 이 파일 안에는 사내 액티브 디렉터리(AD)를 조회하는 파이썬 기반 백도어가 숨겨져 있다. 공격자는 피해자 단말기에서 LDAP 쿼리를 날려 사내에 연결된 모든 컴퓨터와 사용자 계정 목록을 순식간에 뽑아내고, 도메인 컨트롤러(DC)를 향해 수평 이동(Lateral Movement)을 감행한다. 이 모든 과정이 불과 반나절 안에 완료된다.

내부 액티브 디렉터리 장악과 공급망 신뢰 붕괴

한 대의 업무용 PC가 공격자의 손에 넘어가면 회사 내부 네트워크는 사칭 공격의 기지로 전락한다. 공격자는 연결이 끊어질 때를 대비해 상용 원격 관리 도구인 레벨(Level)이나 고지알피씨(GoGRPC) 백도어를 시스템 서비스로 등록해 둔다.

이를 통해 내부 중앙 관리 서버가 장악당하면 사내 영업 비밀, 고객 개인정보, 미출시 개발 소스코드가 외부 서버로 고스란히 유출된다. 나아가 사내 메일과 팀즈 계정이 해커의 손에 들어가면서, 협력사와 고객사를 향해 악성 메일과 메시지를 발송하는 2차 공급망 가해자로 전락하는 치명적인 신뢰 훼손을 겪게 된다.

링크 검사를 무력화하는 원격 제어 우회술과 EDR 기반 방어 체계

마이크로소프트의 기본 보안 기능인 세이프 링크(Safe Links)나 무중단 자동 제거(ZAP) 기술은 채팅창이나 이메일 본문에 적힌 악성 인터넷 주소(URL)를 실시간으로 대조해 차단한다. 하지만 이번 공격자들은 이 방어선을 정면으로 비웃는다. 채팅창에는 어떠한 위험한 링크도 올리지 않기 때문이다.

대신 공격자는 윈도우 기본 탑재 원격 도구인 빠른 지원(Quick Assist)이나 스크린커넥트(ScreenConnect), 애니리서치팀(AnyDesk), 팀뷰어(TeamViewer), 조호 어시스트(Zoho Assist) 같은 정상적인 소프트웨어를 쓰도록 유도한다. 피해자에게 윈도우 단축키(Ctrl + Win + Q)를 누르게 하거나 공식 사이트에서 설치 파일을 받게 한 뒤, 공격자가 알려주는 6자리 보안 코드를 입력하게 만드는 방식이다.

화면 제어권을 넘겨받은 공격자는 브라우저를 직접 띄워 자신이 준비한 악성코드 배포 주소로 이동하거나, 백그라운드 명령 프롬프트에서 파워셸을 구동한다. 보안 프로그램 입장에서는 직원이 직접 마우스를 움직이고 키보드를 두드려 정상적인 프로그램을 깔고 명령을 내리는 것처럼 보이기 때문에 탐지하기가 극도로 까다롭다.

따라서 기업 보안팀은 단순한 메시지 필터링을 넘어 엔드포인트 탐지 및 대응(EDR) 시스템과 클라우드 인프라 모니터링 환경을 재정비해야 한다. 비정상적인 파워셸 스크립트 실행, 대량의 내부 LDAP 조회 요청, 외부 저장소로의 대용량 데이터 전송을 실시간 추적할 수 있도록 Datadog 같은 중앙 모니터링 시스템과 연동해 인프라 전반의 비정상 프로세스 발생 여부를 감시 체계에 포함해야 한다.

외부 협업 구멍을 틀어막는 기업 보안 3단계 방어선

기술적 취약점이 아닌 인간의 신뢰와 기본 설정을 악용하는 공격을 막아내려면, 외부 통신 차단부터 엔드포인트 권한 제한까지 이어지는 다층 방어선을 세워야 한다.

1차 방어선: 팀즈 외부 통신 기본 허용 정책 즉시 폐기 및 허용 도메인 지정

가장 시급하고 확실한 조치는 마이크로소프트 팀즈의 외부 액세스(External Access) 기본 설정을 뜯어고치는 일이다.

• 외부 연동 기본 차단: 마이크로소프트 365 관리 센터(Teams Admin Center)에서 ‘모든 외부 도메인과의 통신 허용’ 설정을 즉시 비활성화한다. 기본 설정을 ‘모든 외부 도메인 차단’으로 전환하고, 프로젝트상 협업이 필수적인 특정 고객사나 파트너사의 도메인만 선별적으로 등록하는 화이트리스트(Allowlist) 정책을 강제해야 한다.
• 표시 이름 사칭 알림 강화: 외부 테넌트에서 발송된 메시지의 경우 화면 상단에 굵은 경고 배너를 띄우고, 프로필 이름에 사내 부서명(IT, Helpdesk, 전산, 지원 등)이 포함된 외부 계정은 시스템 차원에서 수신 자체를 차단하도록 규칙을 등록한다.

2차 방어선: 윈도우 원격 지원(Quick Assist) 및 미승인 RMM 실행 차단

공격자가 사내 단말기에 키보드 권한을 얻지 못하도록 비인가 원격 제어 도구의 실행을 원천 봉쇄해야 한다.

• 윈도우 빠른 지원(Quick Assist) 비활성화: 윈도우 운영체제에 기본 탑재된 빠른 지원 기능은 일반 업무 환경에서 해킹 통로로 악용될 위험이 매우 높다. 인튠(Intune)이나 그룹 정책(GPO)을 활용해 일반 임직원 PC에서 이 앱을 일괄 삭제하거나 실행을 차단한다.
• 사내 승인 도구 외 미인가 RMM 실행 차단: AnyDesk, ScreenConnect, TeamViewer, Atera 등 공격에 자주 악용되는 원격 프로그램의 실행 파일 해시값과 네트워크 접속 포트를 방화벽 및 EDR에서 전면 차단한다. 사내 기술 지원이 필요할 때는 전산팀이 공식 지정한 단 하나의 원격 지원 프로그램만 사내 인증 절차를 거쳐 작동하도록 통제해야 한다.

3차 방어선: 파워셸 실행 제한과 액티브 디렉터리 대량 조회 행위 감시

원격 접속이 발생하더라도 후속 페이로드가 내려앉지 못하도록 시스템 실행 규칙을 조여야 한다.

• 일반 사용자 파워셸 실행 통제: 일반 임직원 단말기에서는 관리자 권한 없이 파워셸 스크립트(.ps1)가 실행되지 않도록 제한 언어 모드(Constrained Language Mode)를 적용하고, 실행 정책(Execution Policy)을 가장 엄격한 수준으로 고정한다.
• 이상 LDAP 쿼리 실시간 탐지: 단일 단말기에서 짧은 시간 동안 전체 사용자 계정과 컴퓨터 목록을 긁어모으는 비정상적인 LDAP 쿼리가 발생할 경우, 침해 지표(IoC)로 인식해 즉각 해당 PC의 네트워크 연결을 끊고 보안팀에 긴급 알림을 발송하도록 내부 감사 규칙을 활성화해야 한다.