왜 ‘보안에 진심’이라던 마이크로소프트가 또 도마에 올랐을까
솔직히 이 소식을 처음 봤을 때 의아했다. 마이크로소프트 애저(Azure)는 전 세계에서 가장 많은 기업이 쓰는 클라우드다. 보안 투자도 어마어마하게 한다. 그런데 대규모 정보 유출 의혹이 또 불거졌다. 맥도날드, 보다폰 같은 이름이 함께 등장하니 더 놀랍다. 다만 먼저 짚어야 할 게 있다. 이 사건은 아직 해커 측 주장과 보안 업계의 정황 분석 단계이고, 마이크로소프트의 공식 확인은 나오지 않았다. 필자가 보기엔 지금까지 알려진 정황만 놓고 봐도, ‘해킹’이라는 단어가 주는 이미지와는 결이 다르다. 시스템이 뚫렸다기보다는, 문이 열려 있었다는 쪽에 가까워 보인다.
사건의 배경: 계정 탈취범이 던진 주장
이번 논란의 시작은 지난달 말로 알려졌다. ‘TheHatman’이라는 이름을 쓰는 해커가 다크웹에 글을 올렸다. 자신이 여러 기업의 애저 테넌트에서 수백만 건의 직원 정보를 훔쳤다는 주장이었다. 8월 17일에는 맥도날드 관련 데이터로 추정되는 자료가 다크웹에 게시된 것으로 보도됐다. 보안 매체 블리핑컴퓨터(BleepingComputer)는 이를 비중 있게 다뤘다. 다만 이 주장이 완전히 검증된 것은 아니라는 점을 다시 한번 짚어야 한다. 마이크로소프트나 거론된 기업들의 공식 발표는 이 글을 쓰는 시점까지 확인되지 않았다.
유출됐다고 알려진 정보는 이름, 이메일, 직함, 전화번호 같은 직원 디렉터리 정보다. 맥도날드, 보다폰, 타타컨설턴시서비스(TCS), 킨드릴 같은 이름이 함께 거론됐다. 이 지점이 흥미로운데, 거론된 기업들의 공통점은 업종이 아니다. 애저를 쓴다는 것뿐이다.
‘취약점’이 아니라 ‘로그인’이 의심받는 이유
여기서 눈에 띄는 건 추정되는 공격 방식이다. 보안 연구자들의 정황 분석에 따르면, 이번 침해는 애저 플랫폼 자체의 결함이라기보다는 정상적인 로그인 절차가 악용됐을 가능성이 커 보인다. 공격 기법으로는 패스워드 스프레이와 MFA 피로 공격이 지목된다. 패스워드 스프레이는 흔한 비밀번호 몇 개를 여러 계정에 대입해보는 방식이다. 하나의 계정만 노리지 않으니 탐지가 쉽지 않다.
MFA 피로 공격은 더 교묘하다. 공격자는 이미 탈취한 아이디와 비밀번호로 로그인을 시도한다. 그러면 피해자 휴대폰에 인증 요청 알림이 계속 뜬다. 새벽에도, 회의 중에도 알림이 열 번이고 스무 번이고 온다. 결국 피해자가 짜증이 나서, 혹은 실수로 ‘승인’을 눌러버렸을 것이라는 게 보안 업계의 추정이다. 개인적으로는 이게 사실이라면 기술의 허점이 아니라 사람의 피로를 노린 설계라는 점이 씁쓸하다.
기업들의 전략적 대응: 이제는 ‘로그인 자체’를 의심해야 한다
사건의 정확한 원인과 별개로, 클라우드 기업들의 대응 방향은 뚜렷하다. 단순 승인·거부 알림 대신 ‘번호 매칭’ 방식 MFA를 쓰는 게 첫걸음으로 꼽힌다. 로그인 화면에 뜬 숫자를 휴대폰에 입력해야만 인증되는 방식이다. 무작위로 승인 버튼을 누를 여지를 없앤다. 여기서 더 나아가 피싱에 강한 FIDO2 보안키나 패스키 도입을 서두르는 기업도 늘고 있다.
결국 방향은 하나로 모인다. 바로 제로트러스트다. 로그인에 성공했다고 그 사람을 무조건 믿지 않는 접근이다. 접속 위치, 기기 상태, 행동 패턴까지 계속 확인한다. 헬프넷시큐리티(Help Net Security) 보도에서도 전문가들은 이런 상시 검증 체계를 권고했다. 이번 의혹이 사실로 확인된다면, 보안팀이 가장 먼저 점검할 항목도 이 부분일 가능성이 크다.
IT-SUE의 시각
이 사건을 보면서 필자가 계속 떠올린 문장이 있다. “보안의 최전선은 이제 방화벽이 아니라 로그인 화면”이라는 말이다. 지금까지 알려진 정황이 사실이라면, 클라우드 시대의 보안은 성벽을 높이 쌓는 싸움이 아니라는 뜻이 된다. 문 앞에 선 사람이 진짜인지 확인하는 싸움으로 바뀌었다는 얘기다. MFA 피로 공격 같은 기법이 계속 거론되는 이유도 여기에 있다고 본다. 기술은 발전했는데, 정작 사람은 여전히 피곤하고 무심할 수 있어서다.
개인적으로는 이번 의혹이 사실로 확인되든 아니든, 특정 기업 하나의 실수로만 끝날 문제는 아니라고 본다. 애저를 쓰는 모든 조직에 던지는 경고에 가깝다. 자체 인프라를 운영하던 시절에는 상상하기 어려웠던 방식의 위협이다. 클라우드로 옮겨가면서 우리는 편리함을 얻었다. 하지만 그만큼 ‘계정 하나’의 무게도 커졌다. VPN과 중간자 공격을 다룬 이전 글에서도 다뤘듯, IT 보안은 결국 기본기 싸움이다. 이번 사태도 진상이 정확히 밝혀지기 전까지는 조심스럽게 볼 필요가 있다. 다만 지금까지 나온 정황만 보면, 화려한 해킹 기술보다 기본적인 인증 절차의 빈틈이 문제였을 가능성에 무게가 실린다. 앞으로 눈여겨봐야 할 것은 새로운 방화벽이 아니라, 로그인 그 자체일 것이다.
답글 남기기