MS, 아르텍스(ARTEX)를 이용한 공급망 공격 조사 결과 공개

마이크로소프트는 적어도 9월부터 이 조직이 여러 산업의 수백 개 조직을 겨냥했다고 밝혔다. 일부 사례에서는 최초 표적 선정부터 클라우드의 높은 권한을 확보하기까지 세 시간이 채 걸리지 않았다고 설명했다. 이는 조사에서 관찰한 일부 사례의 시간이며, 모든 공격의 성공률이나 평균 소요 시간을 뜻하지 않는다.

별도로 공개한 10월 10~14일의 비밀번호 추측 공격에서는 8개 조직의 327개 계정을 대상으로 15만1천 건이 넘는 실패 로그가 기록됐다. 이 구간에서는 성공한 인증이나 토큰 발급을 관찰하지 못했다는 것이 회사의 설명이다. 대규모 시도가 있었다는 수치와 실제 접근에 성공한 사건을 섞으면 피해 규모를 잘못 전달하게 된다.

외부 앱 경로의 위험은 앞선 현장 조사에서도 드러났다. 보안업체 헌트리스(Huntress)는 10월 16일 공개한 보고서에서 커넥트와이즈 클라우드 백업(ConnectWise Cloud Backup)이 고객 조직의 메일·파일을 백업하고 복원하기 위해 넓은 읽기·쓰기 권한을 받는다고 설명했다. 공격자는 탈취한 공급업체 측 인증정보로 그 앱처럼 접속할 수 있었다. 헌트리스의 직접 조사 보고서

헌트리스는 10월 19일 추가 조사에서 두 고객 환경의 후속 행동을 분석했다. 앱이 스스로 관리자 역할을 얻고, 다른 앱에 새 인증정보를 추가해 접근 경로를 남기는 움직임을 관찰했다. 이런 변경은 처음 문제가 된 앱의 연결을 끊는 것만으로 사라지지 않는다. 서비스 제공업체의 조치와 고객 조직 내부에 남은 변경을 구분해야 하는 이유다.

조사기관 사이의 해석 차이도 있다. 헌트리스는 19일 업데이트에서 자신들이 관찰한 비밀번호 추측 시도와 앱 로그인 활동이 관련돼 있다고 당시에는 보지 않았다고 썼다. 마이크로소프트는 21일 더 넓은 공격 활동 안에서 이를 설명했다. 두 회사가 볼 수 있는 로그의 범위와 발표 시점이 다른 만큼, 모든 단계가 동일한 증거로 확정됐다고 합쳐 쓰기는 어렵다.

커넥트와이즈의 22일 13시 UTC 공지는 복구가 단계적으로 진행 중이며, 각 단계에서 보안 검증을 한다고 밝혔다. 이미 저장된 백업 자료는 암호화·격리된 상태로 보존돼 있고 침해 징후가 없다는 설명도 유지했다. 이는 공급업체가 보관한 백업에 관한 판단이며, 고객의 실제 업무용 클라우드 환경까지 피해가 없다는 뜻은 아니다. 커넥트와이즈 공식 사고 공지

회사는 서비스별 공식 재연결 안내가 나올 때까지 영향을 받은 연결을 비활성화한 상태로 유지하라고 공지했다. 복구를 시작했다는 발표를 모든 기능의 정상화로 받아들여서는 안 되는 상황이다. 고객별 환경에서 승인하지 않은 권한 변경이나 지속 접근 수단이 남았는지 확인하는 조사 역시 복구와 함께 이어지고 있다.

이 사건에서 AI의 역할은 기존 신뢰 관계를 악용하는 작업을 빠르게 반복하는 데 있다. 새로운 모델이 모든 보안을 무력화했다는 결론과는 구별된다. 외부 서비스에 준 권한이 여러 고객에게 연결되는 구조에서는 한 곳의 인증정보 사고가 넓게 번질 수 있다. AI 자동화의 속도를 설명하려면 바로 이 권한 구조와 실제로 확인된 피해 단계를 함께 봐야 한다.