러시아 연계 APT, 패치된 Zimbra 사례와 연계된 OWA 취약점 악용으로 사서함 지속화

2026년 7월 22일 이후 러시아 연계 위협 행위자가 Microsoft Outlook Web Access(OWA)의 별도 취약점을 적극 활용해 미국과 유럽의 정부 기관 및 핵심 산업 조직을 정밀 표적으로 공격하고 있는 것으로 확인됐다. 특히 자격 증명 회전 이후에도 사서함 접근 권한이 유지되는 지속화 기법이 핵심 특징으로 부각되며, 비밀번호 변경만으로는 침해를 차단하기 어려운 상황으로 분석된다.

공격 개요: 러시아 위협 행위자의 OWA 취약점 활용 배경

이번 침해 활동은 2026년 7월 22일을 기점으로 본격화된 것으로 확인되며, 같은 위협 행위자가 기존에 활용하던 패치된 Zimbra 취약점 익스플로잇 사례와 연계된 것으로 분석된다. OWA는 다수의 정부 및 대기업 메일 환경에서 폭넓게 사용되는 웹 기반 접근 경로이기 때문에, 단일 인증 흐름 우회만으로 광범위한 사서함 자산이 노출될 가능성이 있다. 러시아 연계 위협 행위자가 비교적 잘 알려진 Zimbra 공격 도구 체인을 넘어 OWA 표면까지 확장한 것은 새로운 정찰 가치와 지속화 채널을 동시에 확보하려는 전략적 움직임으로 해석된다.

이전 Zimbra 공격과의 연계성 분석

이전 침해에서 활용된 Zimbra 익스플로잇은 이미 패치된 시점임에도 불구하고, 공격자는 동일 조직을 상대로 OWA 등 다른 메일 접점을 새로 확보해 침해 표면을 확장한 것으로 보인다. 이는 한 번 뚫린 조직의 자산 목록과 접근 경로 정보를 다음 단계 공격에 재활용하는 정찰 메모리 기반 운영 방식의 전형적인 사례로, 단일 패치 적용만으로는 위협 노출이 종료되지 않음을 시사한다.

7월 22일 이후 본격화된 침해 활동 타임라인

7월 22일을 전후한 시점에서 비정상적인 OWA 인증 시도 로그가 다수 조직에서 관측된 것으로 알려졌으며, 공격자는 짧은 시간 안에 다수의 인증 이벤트를 발생시켜 인증 통제와 모니터링의 한계를 동시에 시험한 것으로 보인다. 빠르게 변종을 갱신하며 탐지를 우회하는 패턴은 자동화 도구 체인의 존재를 강하게 추정케 한다.

미국과 유럽 정부 기관을 겨냥한 정찰 목적

이번 활동의 1차적 표적이 미국 및 유럽 정부 기관이라는 점은, 단기적 금전 동정보다는 정책 정보, 외교 문서, 인사 데이터 등 고가치 인텔리전스 수집이 우선 목적일 가능성을 높인다. 정부 기관의 메일함은 정책 의사결정에 직결되는 민감도를 지니므로, 2차 피hing 기반 신뢰 우회 캠페인의 출발점으로 활용될 위험도 동시에 존재한다.

기술적 분석 자격 증명 회전 이후에도 살아남는 사서함 지속화 기법

이번 침해에서 가장 주목할 특징은 자격 증명 회전 이후에도 사서함 접근이 유지된다는 점이다. 메일함 침해는 비밀번호 재설정과 MFA 재등록만으로 차단 가능하다고 인식되어 온 측면이 있으나, OWA 환경에서는 OAuth 동의, 세션 쿠키, 복구 메일, 위임 권한 등 다수의 부가 경로가 존재해 자격 증명 회전만으로는 침해 세션을 완전히 무효화하기 어렵다. 공격자는 초기 침투 이후 이러한 부가 경로를 한 단계 더 확보함으로써, 표적 조직이 비밀번호를 회전하더라도 사서함 내부의 정보를 지속적으로 수집할 수 있는 기반을 만들어 둔 것으로 분석된다.

익스플로잇 가능한 OWA 진입점과 인증 흐름 우회

OWA는 브라우저 기반의 풍부한 인증 흐름을 제공하기 때문에, 공격자는 정상적인 사용자 로그인처럼 보이는 트래픽 속에서 취약한 입력 검증 지점을 악용할 여지를 갖는다. 인증 흐름 내 세션 발급, 토큰 교환, 권한 동의 처리 등 다단계 구간 중 어느 하나가 충분히 단단하지 않다면, 공격자는 사용자 개입 없이도 장기 세션을 발급받거나 권한 상승을 시도할 수 있다.

OAuth 토큰 및 세션 쿠키 재사용 메커니즘

자격 증명이 바뀌더라도 이미 발급된 OAuth 갱신 토큰이 유효하다면, 공격자는 새로 로그인하지 않아도 동일 사서함에 접근할 수 있다. 마찬가지로 세션 쿠키의 만료 시점이 지나지 않았다면, 비밀번호 변경과 무관하게 기존 브라우저 세션이 그대로 동작한다. 이번 사례에서 보고된 자격 증명 회전 후 접근 유지는 바로 이 메커니즘을 통한 것으로 추정된다.

복구 메일 및 위임 설정을 악용한 권한 유지

공격자는 사용자 계정의 복구 메일을 외부 도메인으로 변경하거나, 사서함 위임 권한을 특정 계정에 부여함으로써 비밀번호 초기화 이후에도 사서함 흐름을 외부로 빼낼 수 있는 경로를 만들 수 있다. 이러한 위임 설정은 사용자나 관리자가 명시적으로 점검하지 않는 한 정상으로 보이기 쉽고, 감사 로그를 면밀히 검토하지 않으면 발견이 늦어질 가능성이 높다.

주요 피해 표적: 정부·통신·금융·호스피탈리티·항공우주 산업별 영향

이번 침해의 표적은 단일 산업군에 머물지 않고 정부, 통신, 금융, 호스피탈리티, 항공우주 등 다양한 부문을 포괄한다. 각 산업군이 보유한 데이터의 성격과 노출 시 파급 효과가 다르기 때문에, 단일 우선순위 대응보다는 산업별 데이터 유출 위험과 2차 활용 가능성을 함께 고려한 차별화된 대응이 필요한 시점이다.

산업군	표적 가치	주요 노출 위험
정부	정책, 외교, 인사 인텔리전스	고위직 메일 사칭 내부 2차 피hing
통신	대형 인프라 데이터	내부 시스템 정보 유출 및 연계 침투
금융	고객 거래 및 내부 통제	대규모 금전 사기 및 규제 위반 이슈
호스피탈리티	VIP 이동 동선 정보	고위 인사의 물리적 추적 및 표적 공격
항공우주	기술 설계 및 협력사 정보	산업 스파이 활동 및 지적재산권 유출

지역별 표적 분포와 표면화된 공격 시나리오

미국과 유럽 두 지역이 동시에 표적화된 것은 외교 및 산업 협력을 매개로 한 다자간 신뢰망을 노린 것으로 해석할 수 있다. 동일 공격자가 국가별로 별도의 인프라를 운영하면서도 표적 조직 내부에서는 균질한 침해 흔적이 관측될 가능성이 높아, 다국적 조직은 지역별 보안팀 간에 관측 정보를 즉시 공유하는 운영 체계를 갖출 필요가 있다.

산업별 데이터 유출 위험과 2차 피hing 활용 가능성

침해된 사서함의 본문, 첨부 파일, 메타데이터는 곧바로 후속 피hing 공격의 양질한 소재가 된다. 특히 정상적인 비즈니스 맥락 속에서 송수신된 메일은 내부 사용자의 신뢰를 쉽게 유도하므로, 단일 침해가 수십 건의 2차 사기 캠페인으로 확장될 수 있다. 산업별 맥락이 다른 만큼, 침해 직후에는 산업별 위협 헌팅 시나리오도 함께 가동되어야 한다.

외부 노출 자산과 레거시 인증 경로의 결합 위험

최신 인증 체계가 적용되지 않은 레거시 인증 경로와 외부 노출 OWA 엔드포인트가 결합될 경우, 공격자는 비교적 약한 경로를 통해 동일 조직의 핵심 사서함에 접근할 수 있다. 이는 클라우드 전환을 마쳤더라도 외부 접속 경로와 레거시 인증 옵션을 함께 정비하지 않으면 실질적 보안 수준이 크게 떨어질 수 있음을 보여준다.

탐지 및 차단 시사점 세션 토큰 감사 로그 기반의 점검 항목

자격 증명 회전 이후의 지속화 침해에 대응하기 위해서는 세션, 토큰, 위임 권한을 중심으로 한 감사 로그 기반의 탐지 체계가 필수적이다. 단순한 인증 성공/실패 여부가 아니라, 사용자 행동 맥락을 함께 상관 분석해야 비정상 세션의 재발견율을 높일 수 있다. Microsoft 365 환경에서는 통합 감사 로그와 사서함 감사 로그를 결합해 다층적인 신호 확보가 가능하다.

로그 상의 비정상 세션 상관관계 분석 포인트

동일 사용자에 대해 비정상적인 다중 세션, 짧은 시간 내의 광범위한 지리적 위치 변경, 그리고 정상적인 업무 시간대를 크게 벗어나는 인증 시점이 핵심 신호가 될 수 있다. 또한 비밀번호 변경 이벤트 직후에도 세션이 유지되거나 새로운 토큰 발급이 관측된다면, 자격 증명 회전만으로는 차단되지 않는 침해가 진행 중일 가능성이 높다.

통합 감사 로그와 사서함 감사 로그 점검 절차

통합 감사 로그에서는 로그인 실패/성패 외에 MailItemsAccessed, OAuth2PermissionGrant, Add inbox rule 등의 이벤트를 함께 조회해야 사서함 내부 활동의 연쇄를 파악할 수 있다. 사서함 감사 로그와 결합해 특정 사용자 중심으로 시간 축을 좁혀가며 조회하면, 침해의 정확한 시점과 사용된 권한 범위를 재구성할 수 있다.

Microsoft Defender XDR 기반의 위협 헌팅 시나리오

Microsoft Defender XDR은 OWA 인증 이벤트, 사서함 접근, 토큰 발급을 통합적으로 상관 분석할 수 있는 위협 헌팅 기능을 제공한다. 공격자가 초기 침투 이후 어떤 부가 권한을 확보했는지, 그리고 현재 어떤 세션이 여전히 유효한지를 헌팅 쿼리로 확인하는 것이 침해 대응 시간을 크게 단축시킨다.

대응 권고 패치 가속화와 조건부 액세스 기반 제로트러스트 적용 방향

이번 사례는 단순 패치 적용만으로는 충분하지 않으며, 인증 이후 단계의 신뢰를 재설계하는 제로트러스트 접근이 필요함을 명확히 보여준다. 자격 증명 회전, MFA, 세션 무효화, 조건부 액세스 정책을 하나의 통합된 통제 프레임으로 운영하는 것이 향후 유사 침해를 차단하는 가장 현실적인 경로이다.

Microsoft 공식 패치와 권장 설정 즉시 적용

가장 먼저 우선해야 할 조치는 Microsoft Security Response Center(MSRC)의 공식 권고에 따른 패치 적용과 권장 설정 변경이다. 참조: MSRC 가이드. 패치가 적용되지 않은 인스턴스는 즉시 인터넷 노출을 차단하고, 대체 통제(네트워크 제한, 임시 모니터링 강화)를 가동해야 한다.

MFA 고도화와 피hing 저항 인증 수단 도입

일반적인 OTP 기반 MFA마저 피hing 공격에 노출될 수 있으므로, FIDO2/WebAuthn 기반의 피hing 저항 인증 수단을 우선 도입해야 한다. 인증 수단의 보안 수준이 향상될수록 OAuth 권한 동의 단계에서도 사용자 신뢰 기반의 위협 표면이 줄어들어, 부가 경로 침해의 성공률도 함께 낮아진다.

조건부 액세스 정책과 토큰 수명 관리 자동화

조건부 액세스 정책을 통해 디바이스 준수 여부, 위치, 위험 신호에 따라 세션 발급 범위를 동적으로 제한해야 한다. 동시에 갱신 토큰의 수명을 의도적으로 짧게 가져가, 비밀번호 회전과 함께 모든 토큰이 함께 무효화되는 운영 표준을 마련하는 것이 중요하다. 이러한 자동화 통제는 수동 관리에서 발생할 수 있는 누락을 최소화하며, 침해 대응 시 일괄 세션 종료도 가능하게 한다.

본 분석은 원문 보도와 공개된 가이드를 토대로 작성되었으며, 일부 메커니즘은 위협 행위자 행태에 기반한 추정에 해당한다. 각 조직의 실제 통제 상태에 따라 위협 노출 정도는 달라질 수 있으므로, 자체 환경에 맞는 점검을 병행해야 한다.