Microsoft는 피싱 서비스를 위한 종합 시장으로 기능하는 중국어권 범죄 생태계를 공개했다. 이 생태계는 피싱 도구 개발자, 인프라 판매자, 그리고 이러한 서비스를 구매해 대규모 캠페인을 수행하는 공격자들을 연결한다. 회사는 이 생태계와 연계된 주체들이 2026년 1월 이후 전 세계 7만 5천 개가 넘는 기관에 10억 건 이상의 이메일과 문자 메시지를 전송하는 데 도움을 줬다고 밝혔다.
캠페인은 의료, 금융 서비스, 도매 유통, 정보기술 부문의 기관을 대상으로 했으며, 일본, 미국, 호주, 인도에서 피해자가 확인됐다. Microsoft 디지털 범죄 부서는 법 집행 기관 및 기타 파트너들과 협력해 생태계의 주요 개발자와 핵심 인프라를 방해하는 데 기여했다.
접근 권한과 인프라를 판매하는 시장
Microsoft는 YAM Store라는 이름으로 운영되는 초기 접근 브로커 모델의 불법 시장을 Storm-3119라는 이름으로 추적했다. 이 시장은 침해됐거나 사기로 확보된 Microsoft 및 Google 환경을 판매하며, 여기에는 실제 또는 과거 기관과 연관된 것으로 보이는 계정, 라이선스, 저장 공간, 도메인이 포함된다.
조사에 따르면 운영자들은 자동화 도구를 사용해 악용 가능한 클라우드 환경을 식별한 뒤 Microsoft 365와 Azure for Education 테넌트를 탈취하고 PHP, Java/Spring, Cloudflare Workers 기술로 구축된 대시보드를 통해 관리한다. 이러한 접근 권한을 이용하면 비밀번호를 재설정하고, 교육용 라이선스를 할당하며, 높은 권한을 부여한 뒤 SharePoint와 OneDrive를 판매 가능한 호스팅 리소스로 전환할 수 있다.
또한 이 생태계는 Cloudflare를 통한 도메인 관리, SSL 인증서, 사이트 라우팅을 제공하며, Alipay, WeChat Pay, USDT를 통한 결제를 허용하는 자동화 인터페이스로 리소스를 판매한다. Microsoft는 운영자들이 새로운 테넌트를 확보하기 위해 허위 기관과 지원 사이트도 만들었으며, 인공지능으로 생성된 콘텐츠와 위조 문서가 사용됐을 가능성이 있다고 밝혔다.
서비스형 피싱 도구
Microsoft는 YAM Store를 통해 판매되는 세 가지 피싱 도구를 확인했다. CoGUI( NX 또는 FA로도 알려짐), Haozi(Phoenix로도 알려짐), Iron Man System이다. 회사는 이러한 도구와 관련된 개발자 및 활동을 Storm-2990이라는 이름으로 추적한다.
Iron Man System에는 139개가 넘는 국가를 대상으로 맞춤 제작된 2,335개 이상의 템플릿이 포함되어 있으며, 정부, 금융, 의료, 경찰, 교통 및 소매 관련 브랜드와 기관을 사칭한다. 이 플랫폼은 지리적 위치에 따른 콘텐츠 제한, 가짜 CAPTCHA 페이지, IP 주소 차단 및 허용 목록, 탐지 회피 설정을 지원한다.
또한 플랫폼은 피해자가 로그인 정보, 카드 정보 또는 인증 코드를 입력하면 Telegram을 통해 실시간 알림을 보낸다. 이 도구는 WebSocket을 통해 데이터를 수집하므로 운영자는 피해자의 상호작용을 추적하고 다음 단계를 수동으로 제어할 수 있다. Microsoft는 이러한 기능 때문에 이 도구들이 단일 공격자가 사용하는 개별 도구라기보다 다중 테넌트 상용 피싱 제품에 가깝다고 밝혔다.
실제로 무엇이 달라지는가?
이번 결과는 현대의 피싱이 분산된 서비스 경제에 의존한다는 점을 보여준다. 한 주체는 계정과 저장 공간을 제공하고, 다른 주체는 템플릿을 개발하며, 구매자들은 최종 캠페인을 실행한다. 이러한 분업은 경험이 적은 공격자들의 진입 장벽을 낮추고, 합법적인 클라우드 환경의 악용을 단일 캠페인과 연결하기 어려운 범죄 공급망의 일부로 만든다.
Microsoft는 이후 활동에 자격 증명 탈취, 액세스 토큰을 얻기 위한 디바이스 코드 흐름을 통한 피싱, 도난된 결제 정보를 이용한 금융 사기가 포함됐다고 밝혔다. 이에 따라 기관들은 사용자에게 긴급성을 유도하는 신호와 예상하지 못한 링크를 식별하도록 교육하고, 피싱에 강한 다중 요소 인증 또는 패스키를 적용하며, 최소 권한 원칙과 Zero Trust에 따라 Global Administrator 권한을 제한할 것을 권고한다.
그 밖의 조치로는 Exchange Online Protection 및 Microsoft Defender for Office 365 설정 검토, 내부 수신자를 위한 Safe Links 활성화, 신뢰할 수 있는 위치와 기기로 인증 수단 등록 제한, 악성 도메인 및 콘텐츠에 대한 접근을 차단하는 네트워크 보호 활성화가 있다. 보고서에 제시된 수치와 평가는 Microsoft의 모니터링에 기반하며, 출처는 세부적인 법적 조치의 범위나 방해 활동의 지속 기간을 명확히 밝히지 않았다.