해커들은 호텔과 회의장의 공유 와이파이를 정상적인 업무 환경처럼 보이게 만든 뒤, 공유기 DNS를 통째로 자신의 서버로 돌려 Microsoft 365 로그인 흐름을 가로채고 있다. Bleeping Computer의 2026년 7월 24일 보도에 따르면 이 캠페인은 최소 2026년 6월부터 진행형이며 금융업을 포함한 다산업의 조직이 표적이 되었다. 본문은 이 공격의 기술적 흐름과 출장 환경에서의 대응 통제를 함께 다룬다.
- 공격자는 호텔 안내 페이지 취약점과 공유기 관리자 자격증명을 악용해 공유기 DNS를 자신 통제 서버로 변경한다.
- 변조된 DNS는 Microsoft 365 로그인 도메인과 전 세계 최상위 도메인 네임서버 레코드를 가리켜 사용자를 위조 로그인 페이지로 리디렉션한다.
- 캠페인은 2026년 6월 이후 최소 수개월간 진행 중이며 금융업을 포함한 다산업의 조직이 피격된 것으로 확인된다.
출장 중 접속하는 무료 와이파이는 단순 패킷 스니핑 위험을 넘어 SaaS 계정 탈취 및 클라우드 침해로 직결되는 1차 침투 경로로 진화하고 있다.
공격 개요: 호텔과 회의장을 노린 DNS 변조 캠페인
Bleeping Computer는 Bill Toulas 기자를 통해 이 캠페인이 호텔과 회의장의 안내 포털 페이지가 제공하는 공유 와이파이 환경을 겨냥한다고 보도했다. 공격자는 안내 페이지의 취약점 또는 공유기 관리자 자격증명을 탈취한 뒤 공유기 내부의 DNS 설정을 자신들이 통제하는 DNS 서버로 교체한다. 이후 접속하는 모든 클라이언트의 도메인 해석은 사실상 공격자 손아귀 안에 놓이게 된다.
이 방식은 단일 사용자의 노트북만 오염시키는 전통적인 악성 와이파이 공격과 다르다. 공유기 자체가 변조되므로 해당 시설 내 모든 이용자가 동시에 영향을 받으며, 안내 페이지에 로그인한 정상적인 사용자가 자연스럽게 공격 경로 안에 흡입된다.
초기 침투 경로: 안내 페이지 취약점과 공유기 자격증명 탈취
1차 침투는 크게 두 갈래로 추정된다. 첫 번째는 안내 페이지의 관리 인터페이스 또는 포털 서버에서 원격 코드 실행 취약점을 익스플로잇하는 경로다. 두 번째는 기본 비밀번호 또는 유출된 자격증명으로 공유기 관리자 콘솔에 로그인해 DNS 설정을 변경하는 경로다. 두 경로 모두 사용자 클릭 없이 침투가 완료된다는 점에서 위협도가 높다.
| 구분 | 주요 공격 표면 | 침투 결과 |
|---|---|---|
| 안내 페이지 취약점 | 관리 콘솔 익스플로잇, 서버 측 결함 | 관리자 권한 획득 |
| 공유기 자격증명 탈취 | 기본 비밀번호, 유출 계정 재사용 | DNS 설정 임의 변경 |
| 안내 페이지 위변조 | 이용 약관 페이지, 캡차 단계 | 악성 페이로드 배포 |
네트워크 계층 공격: DNS 리디렉션과 TLD NS 레코드 변조
공격자는 변조된 DNS를 통해 두 가지 핵심 작업을 수행한다. 첫째는 Microsoft 365 로그인 도메인을 자신들의 위조 로그인 서버 IP로 응답하게 만드는 것이고, 둘째는 전 세계 최상위 도메인의 네임서버 레코드를 자신의 인프라로 가리키게 만드는 것이다. 후자의 경우 공격자는 신규 도메인 등록을 사실상 장악해 후속 인프라 확장의 자유를 확보한다.
이 구조의 가장 무서운 점은 단순히 도메인 한두 개를 속이는 데 그치지 않는다는 점이다. 최상위 도메인 네임서버가 변조되면 정상적인 도메인 등록 자체가 공격자 편에서 이루어질 수 있으므로, 같은 망을 이용하는 모든 조직의 클라우드 자원에 대한 2차 침투가 가능해진다.
자격증명 탈취 단계: Microsoft 365 위조 로그인 페이지의 구조와 Captcha 우회
DNS가 리디렉션된 환경에서 사용자가 Microsoft 365 로그인을 시도하면 공격자 서버가 진짜와 구별하기 어려운 로그인 페이지를 제공한다. 페이지는 사용자명, 비밀번호, 다단계 인증 코드를 순차적으로 입력받도록 설계되어 있으며 입력값은 즉시 공격자 서버로 전송된다. 일부 페이지는 안내 페이지의 Captcha를 그대로 복제해 자동화 도구에 의한 대량 자격증명 수집을 우회한다.
특히 다단계 인증 코드를 실시간으로 받아내는 구조는 기존 피싱 키트 대비 큰 차이다. 공격자는 세션 시간 내에 코드를 입력받아 정당한 세션을 즉시 발급받는다. 따라서 다단계 인증만으로 이 공격을 차단할 수 있다는 인식은 위험하다.
공격 확장: 랜섬웨어 배포와 Azure 클라우드 키 유출로의 연결
The Hacker News가 2026년 7월에 다룬 블루노로프 관련 보도에 따르면, 클라우드 자격증명을 확보한 뒤에는 같은 위협 행위가 Azure 환경의 관리자 키를 탈취하고 랜섬웨어 배포와 데이터 유출로 확장된다. 이는 본 캠페인이 단순 피싱으로 끝나지 않으며지 않고 클라우드 침해로 직결되는 공급망형 위협이라는 점을 시사한다.
분석가들은 클라우드 키 유출이 발생할 경우 온프레미스 시스템과 SaaS 계정이 동시에 통제권을 잃게 된다고 본다. 백업이 클라우드에 연결되어 있다면 랜섬웨어 피해 범위는 자연스럽게 클라우드까지 확대된다.
영향 범위와 피해 산업: 금융업을 포함한 다산업 표적화
Bleeping Computer에 따르면 캠페인은 다수 산업의 조직을 대상으로 진행되었으며 금융업이 포함된다. 이는 출장 비중이 큰 산업일수록 위협 표면이 넓어진다는 의미다. 공격자는 단일 기업의 인프라를 뚫기보다 정상적인 업무 흐름을 따라 자연스럽게 침투하는 전략을 선호한다.
또한 캠페인이 최소 2026년 6월부터 진행형이라는 점은 단발성 사고가 아닌 지속형 작전임을 뜻한다. 따라서 표적이 된 조직은 이미 1차 침투 이후 클라우드 자산까지 광범위하게 노출되었을 가능성이 있다.
출장자 및 기업 보안 통제: 즉시 적용 가능한 7가지 통제 항목
- 출장 시에는 모바일 핫스팟 또는 신뢰할 수 있는 유료 VPN을 우선 사용한다.
- Microsoft 365 로그인은 회사 정책에 따라 디바이스 준수 상태가 확인된 단말에서만 수행한다.
- 다단계 인증을 단독 신뢰하지 말고 피싱 저항 인증, 조건부 액세스, 위치 기반 정책을 함께 적용한다.
- 공유기 DNS는 신뢰 가능한 DNS 서버로 강제 지정하며 도메인 해석 무결성 모니터링을 수행한다.
- 출장자 디바이스는 안내 페이지 로그인 후에도 DNS 설정 변조 여부를 점검한다.
- 클라우드 키는 정기적으로 교체하고 키 사용 로그를 실시간으로 탐지한다.
- 재난 복구 계획에 클라우드 백업 오염 시나리오와 SaaS 계정 잠금 절차를 포함한다.
결론 및 전망: 신뢰 경계의 재정의가 필요한 시점
이 캠페인은 신뢰 경계가 더 이상 회사 방화벽 안에 있지 않다는 사실을 다시 확인시킨다. 공유 와이파이라는 일시적 환경이 곧 신뢰 경계의 진입점이 되었고, DNS라는 네트워크 계층이 침해되면 다중 인증과 클라우드 통제까지 무력화될 수 있다. 분석가들은 이러한 흐름이 지속될 경우 기업은 출장자 디바이스, 공유기, 클라우드 키를 하나의 통합 신뢰 경계로 다루는 정책 전환이 필요하다고 본다. 출장자 본인의 보안 습관과 기업의 기술 통제가 동시에 작동해야만 이 캠페인과 유사한 1차 침투를 차단할 수 있다.
핵심 정리
- 공격은 공유기 DNS 변조라는 네트워크 계층에서 시작해 Microsoft 365 자격증명 탈취와 Azure 클라우드 침해로 확장된다.
- 다산업 표적과 진행형 캠페인 특성상 이미 1차 침투가 완료된 조직이 다수 존재할 가능성이 높다.
- 출장 환경 보안은 개별 사용자의 주의가 아닌 회사 차원의 통제 항목과 연결되어야 효과적이다.
참고 자료