ConnectWise는 공격자들이 탈취된 자격 증명을 사용하여 고객의 Microsoft 365 환경에 접근하는 보안 위협 활동이 감지됨에 따라 클라우드 백업(Cloud Backup), SaaS 보안(SaaS Security), 클라우드 관리(Cloud Management)를 포함한 주요 클라우드 서비스를 일시적으로 중단한다고 발표했습니다.
사건 경위 및 영향받은 서비스
이번 사태는 회사가 클라우드 백업 환경 내에서 무단 활동을 감지하면서 시작되었습니다. 이에 따라 조사를 시작한 지 약 12시간 후인 10월 17일, 과거 'SkyKick'으로 알려진 서비스를 중단했습니다. 조사 범위가 확대됨에 따라, 다음 날 회사는 보호 조치를 시행하고 잠재적 영향을 완화하기 위해 SaaS 보안 및 클라우드 관리 서비스도 예방 차원에서 중단하기로 결정했습니다.
이러한 예방적 조치로 인해 백업 일정, 아카이브 접근, 복구 작업이 중단되었으며, SaaS 보안 모니터링 및 알림, 사용자 및 라이선스 관리 기능도 영향을 받았습니다. 회사는 아직 서비스 완전 복구에 대한 정확한 일정을 제시하지 않았으나, 관리형 서비스 제공업체(MSP)가 환경을 검토하고 보안을 강화할 수 있도록 기술 지침을 게시했습니다.
침해의 성격과 Huntress의 역할
사이버 보안 기업 Huntress는 탈취된 백업 자격 증명이 10월 중순부터 Microsoft 365 테넌트에 접근하는 데 사용되었다고 설명했습니다. 기술 분석에 따르면 해당 자격 증명은 '클라이언트 어설션(client assertion)' 유형이었으며, 이는 자격 증명이 고객 측의 조치가 아닌 공급자 자체 환경 내에 존재했음을 의미합니다.
Huntress는 법률 사무소를 대상으로 한 비밀번호 스프레이 공격에 사용된 IP 주소로부터의 활동을 감지했습니다. 공격자들은 Entra 환경 내의 특정 목록을 표적으로 하는 스크립트를 통해 침투했습니다. 일부 로그인 시도는 성공했으나, 실제 접근을 위해서는 대상 테넌트 내에 ConnectWise의 서비스 주체(service principal)가 존재해야 했다고 회사는 확인했습니다.
실질적인 변화
기업 소유주와 IT 관리자는 공격자가 Microsoft 365 플랫폼 설정을 변경했거나 테넌트 내에 지속적인 접근 메커니즘을 생성하지 않았는지 확인해야 하는 막중한 책임을 지게 되었습니다. 사이버 보안 전문가들에 따르면, 일부 IT 관리자들은 마이크로소프트가 구성 설정을 자동으로 백업한다고 잘못 생각하고 있으며, 이로 인해 이러한 공격으로부터의 복구는 보안 팀의 포괄적인 수동 감사가 필요한 복잡한 작업이 됩니다.