핵심 내용
Microsoft는 10월 21일 중국 관련 행위자로 추적하는 Storm-0940이 공개 AI 기반 침투시험 프레임워크 ARTEX를 이용해 대규모 공격을 수행했다고 발표했다. Microsoft 조사에 따르면 IT 서비스업체 ConnectWise의 Cloud Backup 관련 환경이 공격 경로에 포함됐으며, 항공우주·방산·에너지·금융·정부·제조·반도체 등 다양한 업종의 수백 조직을 대상으로 접근을 시도했다. 대부분의 시도는 성공하지 못했지만 여러 조직에서 높은 권한의 클라우드 접근을 지속할 수 있는 상태에 도달했다고 Microsoft는 설명했다.
ConnectWise는 10월 16일 Cloud Backup 환경과 관련된 무단 접근 시도를 조사 중이라고 별도 공지했다. 공격자의 국가적 배후와 모든 침해 범위는 Microsoft의 조사·귀속 판단에 근거하며, 이번 보도만으로 모든 표적이 침해됐거나 자료가 유출됐다고 볼 수는 없다. ARTEX와 같은 침투시험 도구는 합법적 보안점검에도 사용될 수 있어 도구의 존재 자체가 악성이라는 의미도 아니다.
배경
정상적인 IT 관리업체와 클라우드 백업 플랫폼은 다수 고객의 시스템에 접근할 수 있다. 공격자가 이런 공급망의 권한을 확보하면 개별 고객을 순서대로 침해하는 것보다 넓은 범위의 영향을 줄 수 있다. AI는 탐색과 후속 조치의 자동화를 돕는 수단이다.
산업·시장에 미치는 영향
원격 관리·백업 서비스의 권한과 토큰은 공격자에게 가치가 큰 표적이다. 기업의 공급망 보안 평가는 계약서의 보안 인증에서 벗어나 실제 테넌트 경계, 최소권한과 계정 침해 이후의 권한 철회 능력을 확인하는 쪽으로 강화될 수 있다.
실무에서 바로 활용할 수 있는 시사점
MSP·백업·클라우드 관리 계정의 접근권한과 자격증명 수명, 관리자 역할 부여 기록을 점검해야 한다. 백업 복구 계정과 일반 운영 계정을 분리하고 의심스러운 권한 상승·새 토큰 발급·지속적 접근 흔적을 확인한다. 단순 비밀번호 변경만이 아니라 공격자가 남겼을 수 있는 세션·애플리케이션 자격증명도 조사해야 한다.
출처
Microsoft Security Blog — Storm-0940의 ARTEX 활용 공급망 공격 분석 Reuters — ConnectWise 침해와 글로벌 공격 보도