마이크로소프트가 AI 챗봇으로 기업 이메일 계정을 대량 침해한 구독형 사기 플랫폼 ‘이블토큰스(EvilTokens)’에 대한 업계 공동 차단 작전을 주도했다. IT 전문 매체 아스 테크니카는 23일 마이크로소프트가 이 플랫폼 이용자들이 수개월 동안 1만2000개의 계정을 침해했다고 밝혔다고 보도했다.
이블토큰스의 계정 침해 규모와 운영 방식
이블토큰스는 지난 2월 텔레그램 채널을 통해 소개됐으며, 이용자에게 초기 가입비 1500달러와 월 500달러의 이용료를 받았다. 플랫폼 이용자들은 대량 스팸 메일을 보내고, 악성 링크나 첨부파일을 클릭한 피해자를 속여 공격자 소유 계정으로 자금을 이체하도록 유도하는 후속 메일을 작성할 수 있었다. 마이크로소프트 계정 침해 피해자는 전 세계 1만개 조직에 속한 1만2000명으로 집계됐으며, 미국에서 가장 많았다. 이어 캐나다, 영국, 호주, 인도, 프랑스 순으로 피해 규모가 컸다. 피해 조직에는 도매 유통, 건설, 금융 서비스, 부동산, 고등교육, 의료 분야 기관이 포함됐다.
플랫폼의 핵심에는 피해자의 받은편지함을 분석하는 AI 방식의 챗봇이 있었다. 이 챗봇은 신뢰 관계, 지급 승인 권한, 민감한 업무를 맡은 직원과 상급자의 관계를 찾아내고, 어떤 상황에서 사기가 성공할 가능성이 큰지 분석했다. 한 번에 침해된 이메일 5000개를 분석해 거액을 지급할 권한이 있는 직원과 이들을 설득할 관리자, 공급업체·고객 등 외부 관계를 식별했으며, 신뢰할 만한 연락처를 사칭하는 메시지와 송금 유도 시나리오도 작성했다. 기존 공격자가 수천개의 메일을 직접 확인해 조직도를 파악하던 작업을 자동화한 셈이다.
OAuth 악용과 차단 조치
계정 침해에는 정상적인 OAuth 인증 방식인 디바이스 코드 인증이 악용됐다. 이 방식은 일반적인 로그인 화면을 사용하기 어려운 TV나 입력 제한 기기에서 쓰이며, 로그인하려는 기기가 코드를 보여주면 사용자가 다른 기기의 브라우저에서 해당 코드를 입력해 인증을 완료한다. 이블토큰스는 대량 발송한 피싱 메일의 수신자를 악성 웹페이지로 유도한 뒤, 숨겨진 자동화 스크립트로 마이크로소프트의 ID 제공업체인 엔트라(Entra)와 실시간으로 상호작용했다. 공격자 기기를 등록하는 코드를 만들어 피해자가 공식 마이크로소프트 디바이스 로그인 포털에 입력하도록 한 것이다. 플랫폼의 Node.js 기반 백엔드 로직은 동적으로 생성되는 코드를 포함한 공격 과정을 자동화해 기존 서명·패턴 기반 탐지를 피했고, 계정 침해 뒤 이메일 분석과 사기 실행까지 이어지는 절차를 한 번에 지원했다.
마이크로소프트는 법적 절차와 협력사 네트워크를 통해 이블토큰스 운영에 쓰인 웹사이트 50개와 추가 도메인 150개를 확보했다. 영국 런던경찰청은 이 범죄 플랫폼과 관련된 혐의를 받는 남성 2명을 체포했다. 이번 조치에는 보안업체 스파이클라우드(SpyCloud)도 참여해 피해 조직 정보를 확인했다. 마이크로소프트는 AI 지원 도구가 계정 대량 침해와 침해 이후의 사기 작업 방식을 바꾸고 있다고 설명했다.
피해 조직에는 받은편지함이 침해된 뒤 범죄자가 내용을 며칠이 아니라 수분 안에 파악할 수 있다는 점이 과제로 남았다. 마이크로소프트는 강력한 계정 보호와 모니터링을 유지하는 동시에 지급 정보 변경, 자금 재지정, 이례적인 거래 승인 요청은 신뢰할 수 있는 별도 채널로 독립 확인해야 한다고 권고했다. 원문에는 이블토큰스의 추가 운영 일정이나 새로운 가격·출시 계획은 제시되지 않았으며, 공개된 이용료는 초기 1500달러와 월 500달러다.