ConnectWise 앱 자격 증명 악용, Microsoft 365 테넌트 점검 필요

오늘의 핵심

ConnectWise Cloud Backup의 애플리케이션 자격 증명이 악용돼 Microsoft 365 테넌트에 무단 접근한 정황이 확인됐다. 해당 서비스를 현재 또는 과거에 사용한 국내 기업은 Entra ID의 서비스 주체와 감사 로그를 즉시 점검해야 한다.

확인된 사실

• ConnectWise는 Cloud Backup과 연관된 애플리케이션 ID에 무단 접근이 발생한 뒤 관련 인증서를 폐기하고 서비스를 중단했다. 근거 [1] [2]
• 공격 활동은 사용자 계정이 아니라 Microsoft 365에 사전 승인된 애플리케이션 권한을 이용했기 때문에 사용자 대상 MFA만으로는 방어하기 어렵다. 근거 [2]
• 일부 조사 대상 테넌트에서는 ConnectWise 관련 서비스 주체가 관리자 역할을 얻거나 다른 애플리케이션에 새 자격 증명을 추가한 정황이 관찰됐다. 근거 [2]
• ConnectWise는 암호화된 백업 아카이브에 접근한 증거가 없다고 밝혔지만, 개별 고객의 실시간 Microsoft 365 환경에 무단 활동이 있었는지는 확인할 수 없다고 설명했다. 근거 [1]
• 현재 침해 범위와 데이터 반출 규모, 애플리케이션 자격 증명이 노출된 최초 원인은 확정되지 않았다. 근거 [1] [2]

왜 중요한가

• 웹·앱 운영사가 외부 백업이나 MSP 서비스를 연결하면 해당 애플리케이션이 메일·파일·협업 데이터에 장기 권한을 보유할 수 있다.
• 퇴사자 계정 정리나 사용자 MFA만으로는 서비스 주체와 앱 전용 토큰을 이용한 접근을 차단하지 못한다.
• 백업 서비스 중단 기간에 생성·변경된 데이터는 기존 복구 시점에 포함되지 않을 수 있어 별도의 복구 연속성 점검이 필요하다.

inxight의 관점

• 이번 사고는 SaaS 공급망 관리의 단위를 ‘계약 중인 서비스’가 아니라 ‘테넌트에 남아 있는 모든 앱 동의와 서비스 주체’로 확장해야 한다는 신호다.
• 외부 앱 연동을 도입할 때 권한 범위, 자격 증명 수명, 로그 보존 기간, 종료 시 동의 철회 절차를 함께 제품 운영 기준으로 관리해야 한다.
• 서비스 중단 공지와 실제 고객 테넌트 침해 여부는 별개의 문제이므로, 공급사 발표만 기다리지 말고 자사 로그를 근거로 영향 범위를 판단해야 한다.

실무 체크리스트

• 모든 Microsoft 365 테넌트에서 ConnectWise Cloud Backup 애플리케이션 ID 506e08f9-6e9a-4da4-942b-a099a03644ae의 존재와 활성 상태를 확인하고, 사용 중이면 공급사 최신 지침에 따라 비활성화 여부를 결정한다.
• Entra ID의 ‘서비스 주체 로그인’과 디렉터리 감사 로그에서 비정상 위치의 인증, 예기치 않은 역할 할당, 새 비밀키·인증서 추가 기록을 조사하고 관련 로그를 보존한다.
• 현재와 과거에 설치된 SkyKick·ConnectWise 계열 애플리케이션을 전수 조사해 불필요한 권한과 휴면 연동을 제거하되, 조사 증거를 먼저 내보낸다.
• Cloud Backup 중단 중 발생할 수 있는 복구 시점 공백을 산정하고 중요 메일·파일·협업 데이터에 대한 임시 백업과 복구 절차를 점검한다.