핵심 요약
- 독일 프랑크푸르트 검찰 사이버범죄 전담부서(ZIT)와 연방경찰청(BKA)이 미국, 인도네시아 법집행기관과 합동으로 크라토스 피싱 키트 인프라를 차단함
- 인도네시아 당국이 크라토스 개발 및 운영자로 추정되는 남성 한 명을 체포함
- 크라토스는 Microsoft 365 세션 탈취 및 다중 인증(MFA) 우회 기능을 갖춘 피싱 서비스형 위협으로 평가됨
피싱 키트가 세션 토큰 자체를 노리는 단계로 진화하면서, MFA만으로는 기업 계정을 완전히 보호하기 어려운 국면이 도래한 것으로 분석됨
2026년 7월 22일 The Hacker News 기사에 따르면, 독일 수사기관은 Microsoft 365 세션을 탈취하고 다중 인증(MFA)을 우회하도록 설계된 피싱 키트 크라토스(Kratos)의 핵심 인프라를 차단했다고 공식 발표함. 이번 조치는 독일, 미국, 인도네시아 3개국 법집행기관이 합동으로 수행한 국제 사이버범죄 수사의 결과로, 피싱 as a 서비스(PaaS) 생태계에 대한 단속이 본격화되고 있음을 보여줌.
1. 크라토스 피싱 키트 사건 개요
크라토스 피싱 키트는 독일 수사기관이 세계에서 널리 악용되는 범죄용 피싱 키트 중 하나로 분류한 대상임. 이번 발표는 2026년 7월 20일(한국시간 기준 발표일 일자에 맞춰) 월요일에 공개되었으며, 수사기관은 인프라 차단과 동시에 운영자 검거까지 수행함.
1.1 단속 주체와 합동 수사 구조
이번 단속은 독일 프랑크푸르트 검찰의 사이버범죄 전담부서(ZIT)가 주도하고, 독일 연방경찰청(BKA)이 실무를 담당한 가운데, 미국과 인도네시아 법집행기관이 합동으로 참여함. 크라토스 운영자 한 명은 인도네시아 당국에 의해 체포된 것으로 알려짐.
| 구분 | 주요 담당 기관 | 역할 |
|---|---|---|
| 주도 기관 | 프랑크푸르트 검찰 ZIT | 수사 총괄 및 공식 발표 |
| 실무 기관 | 독일 연방경찰청 BKA | 인프라 차단 및 증거 수집 |
| 합동 참여 | 미국 법집행기관 | 정보 공유 및 글로벌 서버 조치 |
| 합동 참여 | 인도네시아 법집행기관 | 운영자 체포 및 현지 수사 |
1.2 차단 대상 인프라의 범위
수사기관은 크라토스 키트가 배포되던 도메인, 프록시 릴레이, 세션 토큰 수집 백엔드 등 운영 인프라 전반을 차단 대상으로 삼은 것으로 파악됨. 단, 수사 초기 단계인 만큼 차단된 인프라의 정확한 규모와 피해 기업 수는 공개되지 않은 것으로 보임.
2. 크라토스 키트의 기술적 특징
크라토스는 단순한 자격 증명 수집형 피싱 페이지를 넘어, 인증 흐름 중간에 개입해 세션 정보를 빼내는 세션 하이재킹 기반 위협으로 분류됨. 이는 기존 아이디와 비밀번호 탈취 중심의 피싱과 구별되는 지점임.
2.1 Microsoft 365 세션 탈취 메커니즘
크라토스는 Microsoft 365 로그인 페이지와 유사한 중계 페이지를 통해 사용자의 인증 과정을 실시간으로 중계함. 공격자는 이 과정에서 사용자 인증 직후 발급되는 세션 쿠키 및 토큰을 가로채어, 2차 인증 단계 없이 피해자 계정에 직접 접근하는 것으로 보고됨. 이 방식은 비밀번호 변경이나 MFA 재설정을 통한 사후 대응을 어렵게 만드는 특징이 있음.
2.2 다중 인증 우회 방식과 한계
크라토스는 사용자에게 실제로 MFA 입력을 요구하면서, 그 입력을 공격자에게 실시간으로 전달하는 역프록시 형태의 AitM(Adversary in the Middle) 구조를 활용한 것으로 분석됨. 다만 푸시 기반 MFA 피로 공격이나 디바이스바이스 바인딩 인증에는 여전히 취약점이 존재하는 것으로 평가되며, 이는 단속 이후에도 유사 위협이 같은 방식을 반복할 가능성을 시사함.
3. 기업과 공공 부문에 미치는 영향
크라토스 사건은 자격 증명 기반 피싱 위협이 더 이상 단순한 이메일 첨부 파일 수준이 아니라, 정교한 세션 탈취형 공격으로 진화했음을 방증함. 특히 Microsoft 365를 광범위하게 도입한 기업과 공공 기관은 표적 가치가 높은 것으로 판단됨.
3.1 자격 증명 기반 피싱 위협 재정의
기존의 피싱은 자격 증명 탈취 후 재로그인 방식의 접근에 의존했지만, 크라토스처럼 세션 토큰 자체를 탈취하는 위협은 비밀번호 정책 강화만으로는 차단이 어려움. 이는 기업 보안 담당자가 MFA 정책 외에 세션 수명 관리, 토큰 재발급 정책, 사용자 행동 분석까지 검토해야 함을 의미함.
3.2 MFA 도입 기업의 잔존 리스크
MFA를 전면 도입한 기업일수록 인증 흐름이 표준화되어 있어 AitM 공격에 노출되기 쉬운 측면이 있음. 실제로 Microsoft, Google 등 주요 사업자는 피싱 내성 FIDO2/WebAuthn 기반의 패스키 인증으로의 전환을 권고하고 있으며, 크라토스 사례는 이러한 패스키 전환의紧迫성을 높인 것으로 평가됨.
4. 대응 권고와 향후 전망
이번 단속은 크라토스라는 특정 키트를 무력화했으나, 동일한 기능을 가진 후속 키트가 등장할 가능성을 배제할 수 없음. 보안 담당자는 단기 점검과 중장기 구조 개선을 병행해야 하는 것으로 보임.
4.1 단기 점검 항목
- Microsoft 365 관리 콘솔에서 비정상 세션 로그, 익명 IP 로그인, 토큰 재사용 흔적을 점검
- 주요 임직원 계정에 대해 디바이스 바인딩, 조건부 액세스 정책, 피싱 내성 인증 적용 여부 확인
- 사용자 대상 피싱 모의 훈련을 AitM 시나리오 중심으로 재설계
- 세션 만료 시간을 단축하고, 민감 작업 시 재인증을 요구하는 정책 검토
4.2 피싱 as a 서비스 생태계 변화
크라토스 단속은 인프라 차원과 운영자 검거를 동시에 수행한 사례로, 향후 유사 키트 개발자들이 합법적인 클라우드 서비스를 악용해 탐지를 회피할 가능성을 높임. 업계에서는 피싱 키트 대응이 단발성 인프라 차단에서 벗어나, 인증 표준 자체의 피싱 내성 강화로 이동할 것으로 전망함.
요약 정리
- 크라토스 단속은 독일 주도의 3개국 합동 수사로 진행된 국제적 사례임
- 핵심 위협은 세션 토큰 탈취형 피싱으로, 비밀번호 정책만으로는 차단이 어려움
- MFA만으로는 AitM 공격에 취약하므로 패스키 등 피싱 내성 인증 도입이 권고됨
- 단속 이후에도 유사 키트 등장 가능성이 있어 인증 표준 자체의 강화가 요구됨
참고 자료