호텔 와이파이 위협의 새로운 국면: Midnight Blizzard의 Microsoft 365 표적 공격 분석

출장이나 여행에서 무심코 연결하던 호텔 와이파이가 이제 국가 연계 위협 행위자의 1차 침투 경로로 활용되고 있다. Microsoft의 위협 인텔리전스 분석 결과 러시아 연계 그룹이 호텔 망을 무기화해 Microsoft 365 자격 증명을 탈취하는 정밀한 캠페인을 운영한 사실이 확인됐다. 본문은 공격 전술 해부, 위협 인텔리전스의 의미, 그리고 다층 방어 시사점까지 단계적으로 정리한다.

들어가며: 호텔 와이파이를 무기화한 국가 연계 위협 행위자

오랜 기간 보안업계는 공항, 카페, 호텔과 같은 공용 와이파이를 일반 사용자의 주의 부족을 노리는 기회주의적 공격의 무대로 인식해왔다. 그러나 Microsoft 위협 인텔리전스팀이 분석한 이번 캠페인은 그 인식을 근본적으로 뒤집는다. 공격자는 호텔 망 운영자 권한을 확보한 뒤 호텔이 제공하는 무료 인터넷 서비스의 흐름 안에 정교하게 위장된 악성 페이로드를 주입했다. 즉 신뢰를 받는 연결 지점 자체가 공격 인프라로 변모한 것이다.

글로벌 캠페인 형태로 운영되었다는 점은 단순한 지역 사건이 아니라 다수 호텔 체인을 동시에 활용하는 전략적 작전일 가능성을 시사한다. 위협 인텔리전스 관점에서 보면 이는 표적의 가장 약한 신뢰 경계에서 출발해 엔터프라이즈 클라우드까지 침투하는 전형적인 측면 침투 전략의 현대적 변형으로 해석된다.

공격 전술 해부: 침투에서 자격 증명 탈취까지

숙박 단계에서 단말을 감염시키는 커스텀 멀웨어의 동작 방식

캠페인의 첫 단계는 호텔 망 자체에 대한 침투다. 공격자는 호텔 라우터나 게이트웨이를 장악한 것으로 추정되며, 관리 인터페이스 취약점이나 기본 자격 증명 남용 등 알려진 침투 경로가 활용된 것으로 분석된다. 이후 게스트 트래픽을 정상 호텔 인터넷 흐름처럼 위장한 미러 포털이나 자동 연결 메커니즘을 통해 투숙객 단말에 접근한다.

투숙객이 별도의 의심 없이 와이파이에 접속하면 단말에는 운영체제와 무관하게 동작 가능한 멀웨어가 유포된다. 이 멀웨어는 단순 정보 수집형이 아니라 브라우저 저장 자격 증명, 인증 토큰, 그리고 클라우드 세션 쿠키를 우선 수집하도록 설계된 점이 특징이다. 이러한 설계는 이후 Microsoft 365와 같은 SaaS(Software as a Service, 소프트웨어 서비스형) 환경에서 추가 인증 없이 자산을 이동할 수 있게 만드는 핵심 열쇠가 된다.

Microsoft 365 계정 탈취를 위한 토큰·세션 도용과 후속 활동

탈취된 자격 증명과 토큰은 공격자에게 두 가지 이점을 제공한다. 첫째, 정상 사용자의 인증 흐름을 모방한 로그인으로 인해 IP 기반 이상 탐지를 우회하기 쉽다. 둘째, 다중 인증이 적용된 계정에서도 세션 토큰을 재사용하면 일정 시간 동안 추가 인증 없이 동작할 수 있다. Microsoft 365는 메일, 문서, Teams, SharePoint Online까지 연결되는 통합 업무 허브이므로 단일 계정 탈취가 곧 기업의 민감 정보에 대한 광범위한 접근 권한으로 이어진다.

후속 단계에서는 탈취한 메일함을 통한 내부 피싱, OAuth(Open Authorization, 개방형 인증 표준) 권한 추가 승인 유도, 그리고 클라우드 내 데이터 외곽 반출이 이루어지는 것으로 분석된다. Dark Reading이 보고한 디바이스 코드 피싱 및 비싱 추세의 증가는 이런 2차 침투 시나리오의 현실성을 뒷받침한다.

위협 인텔리전스가 보여주는 Midnight Blizzard의 의도

Midnight Blizzard는 과거부터 외교, 정책, 연구기관의 메일 계정을 정밀하게 표적화해온 그룹으로, 장기 침투와 정보 수집을 우선순위로 두는 점에서 상업적 랜섬웨어 행위자와 명확히 구분된다. 과거에는 제로데이 익스플로잇과 정교한 피싱이 주된 침투 수단이었다면, 이번 캠페인에서는 호텔 와이파이라는 ‘약한 신뢰 경계’를 적극 활용하면서도 목표는 여전히 Microsoft 365와 같은 핵심 클라우드 자산으로 수렴한다.

이러한 패턴 변화는 위협 행위자가 클라우드 중심의 업무 환경을 반영해 초기 침투 경로를 재설계하고 있음을 보여준다. 엔터프라이즈의 경계 방어가 견고해지자 공급망과 여행 시나리오처럼 통제 공백이 존재하는 지점을 우회 경로로 채택한 것이다. 위협 인텔리전스 관점에서 이는 표적 범위가 사내만을 넘어 이동 중인 직원과 그들의 단말, 그리고 접속하는 임시 네트워크로 확장되고 있음을 시사한다.

영향 범위: 기업 클라우드와 공급망으로 번지는 리스크

이번 공격의 영향은 자격 증명이 유출된 개인 사용자 차원에 머물지 않는다. 해당 사용자가 소속된 기업의 Microsoft 365 테넌트(Tenant, 클라우드 격리 단위) 전체가 침투 후보가 되며, 메일함을 통한 추가 내부 악용은 곧 공급망의 연쇄 침투로 이어질 수 있다. 실제로 호텔 산업은 항공, 여행사, 글로벌 행사 운영사 등과 긴밀하게 연결되어 있어 한 번의 침투가 다수의 산업 분야로 확산될 잠재적 리스크를 내포한다.

정량적 피해 수치는 공개 자료에서 단정할 수 없으나, Microsoft 365 기반 업무 환경에서는 단일 계정 침투가 메일 외 365 연계 데이터 저장소까지 접근 권한을 확장시킬 수 있다는 점에서 기업에 미치는 잠재적 피해는 매우 크다. 또한 업무 메일에 대한 변조, 피싱용 도메인 등록, 그리고 메일 기반의 비즈니스 이메일 사기(Business Email Compromise)는 곧바로 금전적·평판적 손실로 연결된다. 규제 관점에서도 개인정보와 영업비밀 유출은 GDPR(General Data Protection Regulation, 일반 개인정보보호법)·산업별 보안 규제 하에서 통지 의무와 제재를 수반한다.

단계	공격자 활동	기업 노출 위험
1. 호텔 망 침투	관리자 자격 증명 남용, 취약점 악용	운영 가시성 상실, 신뢰 인증서 위조
2. 투숙객 단말 감염	커스텀 멀웨어 배포, 트래픽 하이재킹	여행자 단말의 자격 증명·토큰 유출
3. Microsoft 365 계정 탈취	토큰 재사용, 세션 하이재킹	메일·문서·Teams 접근 권한 노출
4. 클라우드 측면 이동	OAuth 권한 추가, 내부 피싱	데이터 유출, 공급망 침투 확장

다층 방어 전략: 여행자·호텔·기업을 위한 권고

여행자 단말 보호를 위한 즉각 조치

출장 및 여행이 잦은 임직원의 단말은 사실상 이동형 신뢰 경계다. 호텔 와이파이에 직접 연결하기보다는 신뢰할 수 있는 VPN(Virtual Private Network, 가상사설망) 또는 상용 제로트러스트(Zero Trust, 사용자·기기·자산을 지속적으로 검증하는 보안 모델) 클라이언트를 통해 트래픽을 암호화하고 DNS(Domain Name System, 도메인 네임 시스템) 수준에서 위협을 차단하는 것이 권고된다. 또한 단말의 전원 켜기 시 자동 와이파이 연결 기능과 알려진 네트워크 기억 기능을 비활성화하고, 출장 후에는 저장된 자격 증명과 브라우저 세션을 초기화하는 절차가 효과적이다. 엔드포인트 탐지·대응(EDR, Endpoint Detection and Response) 솔루션은 커스텀 멀웨어의 비정상 행위를 조기에 식별할 수 있는 핵심 통제다.

호텔 운영망에서 강화해야 할 망 분리 및 가시성

호텔 운영자 입장에서는 게스트 망, 운영망, IoT(Internet of Things, 사물인터넷) 망을 물리적 혹은 논리적으로 분리하고, 각 구간에 대해 독립된 인증과 모니터링 체계를 적용해야 한다. 게스트 포털 소프트웨어는 항상 최신 상태로 유지하고, 기본 자격 증명을 제거하며, 관리 인터페이스에 대해 다중 인증을 의무화해야 한다. 망 내부 트래픽에 대한 NDR(Network Detection and Response, 네트워크 탐지 및 대응) 가시성을 확보하면 횡적 이동과 비정상 데이터 반출을 조기에 탐지할 수 있다. 위협 인텔리전스 피드를 망 제어 장비와 연계해 알려진 악성 인프라와의 통신을 실시간 차단하는 것도 필수적이다.

기업 계정과 클라우드 자산을 지키는 제로트러스트 원칙

기업은 ‘신뢰는 이미 침투되었다(Assume Breach)’는 전제로 운영 체계를 재설계해야 한다. Microsoft 365 전 계정에 대해 다중 인증과 조건부 액세스(Conditional Access, 신원·기기·위치 기반 접근 제어) 정책을 적용하고, 토큰 바인딩 및 피셔(FIDO2/WebAuthn 기반) 인증을 도입해 세션 하이재킹 위험을 최소화해야 한다. 클라우드 환경에서는 권한 있는 계정에 대해 Privileged Identity Management와 Just-In-Time 권한 상승을 적용하고, 메일 흐름 감사를 통한 비정상 송신 패턴 탐지를 활성화해야 한다. 마지막으로 위협 인텔리전스 팀은 여행 시나리오를 표적화한 정찰 정찰 정보를 지속적으로 수집해 출장 전후 보안 점검 절차와 연결해야 한다.

결론: 신뢰 경계의 재설계가 필요한 시점

Midnight Blizzard의 호텔 와이파이 캠페인은 ‘어디에나 있는 연결 지점’이 곧 ‘공격의 문’이 될 수 있음을 여실히 보여준다. 국가 연계 위협 행위자는 엔터프라이즈 경계 방어가 견고해질수록 공급망, 여행 시나리오, 임시 네트워크라는 통제 공백을 정밀하게 겨냥한다. 이에 대응하기 위해서는 여행자 단말, 호텔 운영망, 기업 클라우드라는 세 축이 동시에 보안을 강화해야 하며, 무엇보다 위협 인텔리전스를 통해 변화하는 전술을 실시간으로 학습하는 문화가 핵심 경쟁력이 된다. 신뢰 경계는 더 이상 물리적 위치나 단일 네트워크에 머물지 않으며, 사용자와 자산을 둘러싼 모든 일시적 연결을 포함하도록 재정의되어야 한다.

MidnightBlizzard | APT29 | Microsoft365 | 호텔와이파이 | 커스텀멀웨어 | 자격증명탈취 | 위협인텔리전스 | 러시아연계공격 | 엔터프라이즈보안 | 제로트러스트 | 다중인증 | 사회공학 | VPN보안 | 클라우드보안 | 여행자보안

참고 출처: Bleeping Computer – Hotel Wi-Fi attacks use custom malware to breach Microsoft 365 accounts, Dark Reading – Device code phishing & vishing doubles