마이크로소프트 위협 인텔리전스 팀은 2026년 4월 말부터 6월 중순까지 약 6주간 ACR Stealer 인포스틸러를 이용한 공격이 기업 고객 환경에서 급증했다고 경고했다. 공격자는 ClickFix 소셜 엔지니어링 기법으로 초기 침투를 시도하며, 브라우저 저장 비밀번호와 인증 토큰을 핵심 유출 대상으로 삼는 것으로 나타났다. 본문에서는 Microsoft가 포착한 공격 시계열 데이터와 침투 단계별 흐름을 결합해, 엔터프라이즈 환경에서 즉시 점검해야 할 보안 통제 항목을 도출한다.
- 공격 급증 시점: 2026년 4월 말부터 6월 중순까지 Microsoft 기업 고객을 대상으로 ACR Stealer 기반 침해 시도가 급증한 것으로 관측됨
- 초기 침투 수단: ClickFix 소셜 엔지니어링 기법이 악성 페이로드 실행을 유도하는 핵심 벡터로 사용됨
- 주요 유출 자산: 브라우저 저장 비밀번호, 인증 토큰, 민감 문서가 1차 유출 대상으로 분류됨
ACR Stealer는 단일 악성코드가 아닌 ClickFix 기반 사회공학과 인포스틸러가 결합된 위협이므로, 엔드포인트 단일 통제만으로는 탐지 공백이 발생할 수 있다.
ACR Stealer 급등 배경과 Microsoft 경고의 의미
Microsoft 위협 인텔리전스가 본 최근 6주간의 추이
Microsoft 위협 인텔리전스는 2026년 4월 말부터 6월 중순까지 약 두 달간 ACR Stealer와 관련된 침해 지표가 전월 대비 크게 증가한 것으로 집계했다. 같은 기간 다수의 엔터프라이즈 텔레메트리에서 동일 페이로드 변종이 반복적으로 탐지되어, 단발성 캠페인이 아닌 운영형 공격 인프라로 판단된다. Bleeping Computer는 Microsoft 측 경고를 인용하며 이 시기를 인포스틸러 기반 자격증명 탈취 위협이 재차 부각된 시점으로 정리했다.
기업 침해 사례에서 드러난 자격증명 유출의 위험도
ACR Stealer는 인포스틸러 계열 위협으로 분류되며, 감염 시 브라우저에 저장된 비밀번호와 인증 토큰을 우선 회수한다. 기업 환경에서는 단일 사용자 계정의 토큰이 VPN, SaaS, 사내 포털 등 다중 시스템 접근 권한을 담고 있어, 1차 유출이 곧 횡적 이동(lateral movement)의 출발점이 될 가능성이 높다. Microsoft는 이러한 특성상 개인 사용자가 아닌 기업 고객의 인증 체계가 주요 표적이라는 점을 명시적으로 강조한 것으로 전해진다.
ClickFix 소셜 엔지니어링 공격 흐름 해부
사용자가 악성 코드를 실행하게 만드는 초기 침투 단계
ClickFix 기법은 가짜 CAPTCHA, 오류 메시지, 브라우저 알림 등을 통해 사용자가 직접 파워셸 명령어나 설치 파일을 실행하도록 유도하는 사회공학 방식이다. 공격자는 합법적인 클라우드 서비스 URL이나 정상 도메인으로 위장한 피싱 페이지를 1차 랜딩으로 사용하고, 이후 단계에서 powershell.exe, mshta.exe 같은 LOLBin을 통해 메모리 내 페이로드를 실행한다. 이 과정에서 다중 인증이 적용된 계정도 세션 토큰이 함께 탈취되면 우회될 수 있다.
ACR Stealer 페이로드와 데이터 유출 메커니즘
실행된 ACR Stealer는 브라우저의 로컬 자격증명 저장소, 쿠키, 토큰 캐시, 그리고 사용자 문서 폴더의 민감 파일을 수집한다. 이후 데이터는 압축된 형태로 C2 인프라로 송신되며, 일부는 텔레그램, 임시 클라우드 스토리지 등 정상 서비스를 데이터 교환 경로로 악용한다. Microsoft가 제시한 침해 지표에는 비정상적인 powershell 자식 프로세스, 로컬 브라우저 DB 파일에 대한 대량 읽기 행위, 그리고 비인가 외부 호스트로의 업로드 트래픽이 포함된다.
데이터 유출 대상과 비즈니스 영향
브라우저 저장 비밀번호 및 인증 토큰의 유출 위험
ACR Stealer의 가장 큰 위협은 단순 비밀번호 유출이 아니라 세션 쿠키와 OAuth 토큰을 동시에 회수한다는 점이다. MFA가 적용된 계정이라 하더라도 토큰이 살아있는 동안에는 재인증 없이 접근이 가능하므로 토큰 회수 시점과 사용자 재로그인 시점 사이의 시간차가 곧 노출 윈도우가 된다. 다음 표는 ACR Stealer가 주로 접근하는 자산과 그에 따른 1차 영향을 정리한 것이다.
| 유출 대상 자산 | 주요 저장 위치 | 1차 비즈니스 영향 |
|---|---|---|
| 브라우저 저장 비밀번호 | 로컬 자격증명 DB, 브라우저 프로필 | 다중 서비스 재사용 계정 침해 |
| 인증 토큰 및 세션 쿠키 | 브라우저 토큰 캐시, 메모리 | MFA 우회 세션 하이재킹 |
| 민감 문서 | 사용자 문서 폴더, 클라우드 동기화 폴더 | 내부 자료 유출 및 규제 위반 |
민감 문서 유출로 이어지는 2차 피해 시나리오
획득한 자격증명은 랜섬웨어 초기 접근 판매, BEC 사기, 내부 시스템 재침투의 자원으로 재활용될 수 있다. 특히 SaaS 기반 협업 도구의 토큰이 탈취되면, 공격자는 사용자 권한으로 사내 채널에 침투해 추가 피싱 메시지를 전파하는 2차 공격이 가능해진다. 업계 일반 모범사례 기준으로 봤을 때, 1차 유출 이후 72시간 이내에 토큰 회전과 세션 강제 종료가 이루어지지 않으면 피해가横向으로 확대될 가능성이 높다고 분석된다.
엔터프라이즈 대응을 위한 실무 권고 사항
엔드포인트 및 브라우저 보안 강화 조치
EDR 정책에서 PowerShell, mshta, rundll32 등 LOLBin에 의한 자식 프로세스 생성을 모니터링하고, 브라우저 자격증명 DB에 대한 비정상 읽기 시도를 탐지 규칙으로 등록해야 한다. 동시에 기업용 브라우저 정책으로 로컬 비밀번호 저장을 비활성화하고, 중요 사용자 그룹은 디바이스 바인딩 토큰 기반 인증으로 전환할 필요가 있다. Windows Defender ASR 규칙 중 자바스크립트 및 파워셸 실행 제한 항목을 최소 단계 이상으로 적용하는 것도 효과적인 것으로 분석된다.
사용자 교육과 소셜 엔지니어링 탐지 체계
ClickFix는 기술적 우회가 아닌 사용자 행위에 의존하므로, “웹페이지 안내에 따라 직접 명령어를 복사·실행하지 말라”는 원칙을 보안 교육 핵심 메시지로 포함해야 한다. 사내 메일과 메신저에서 비정상 링크와 캡차 형태의 안내문이 등장할 때 이를 신고하는 체계를 운영하며, 탐지된 URL은 DNS 싱크홀과 웹 프록시 차단 목록에 즉시 반영한다. 또한 침해 가정 훈련을 통해 IT 헬프데스크가 토큰 회수 의심 신고를 우선 처리하도록 절차를 정비할 것을 권고한다.
토큰 관리 및 자격증명 회전 정책
인포스틸러 감염이 의심될 경우, 영향받은 사용자의 모든 세션 토큰을 강제 만료하고 IdP 수준에서 일괄 로그아웃을 수행해야 한다. 주요 SaaS는 짧은 수명의 토큰과 디바이스 신뢰 결합 기능을 제공하므로, 이를 우선 도입해 토큰 탈취의 유효 시간을 최소화한다. 정기적인 비밀번호 및 API 키 회전과 함께, 중요 계정에 대해 FIDO2/WebAuthn 기반 패스워드리스 인증을 적용하면 세션 하이재킹 위험을 크게 낮출 수 있다.
핵심 정리
- ACR Stealer는 ClickFix 사회공학과 결합된 인포스틸러형 위협으로, 2026년 4월 말부터 6월 중순까지 기업 고객 표적 공격이 급증한 것으로 관측되었다.
- 유출 가치는 비밀번호보다 세션 토큰에 있으며, 토큰 회전과 강제 로그아웃이 침해 확산 방지의 핵심 통제이다.
- 엔드포인트의 LOLBin 모니터링, 브라우저 저장 정책, 사용자 교육, 토큰 수명 단축을 패키지로 적용해야 실질적 방어가 가능하다.