안녕하세요!
오늘은 마이크로소프트가 네덜란드 정보기관과 공동 발표한 ‘Void Blizzard’ 러시아 해킹조직의 최신 스파이 캠페인을
실제 피해 시나리오와 함께 쉽게 풀어볼게요.
🌐 Void Blizzard란?
국가급 APT, 이제는 ‘클라우드 계정’만 뚫으면 끝
2024년 들어 러시아 해킹 조직들이
정부, 방위산업, 항공우주, IT, 헬스케어 등
유럽·북미 핵심 산업의 이메일·파일·챗 데이터를
정말 조용하게, 하지만 체계적으로 털어가고 있다는
경고가 쏟아지고 있습니다.
이번에 새롭게 공개된 ‘Void Blizzard’는
클라우드 기반 협업툴과 계정 해킹에 특화된
러시아발 스파이 조직으로,
NATO(북대서양조약기구) 국가와 우크라이나,
그리고 주요 방위산업 업체들을
집요하게 노리는 게 특징입니다.
🎯 Void Blizzard의 공격 시나리오 – “클라우드 계정만 털면 모든 게 끝난다!”
- 정보수집, 사전공격 단계
▶ 먼저, Infostealer(인포스틸러) 악성코드 시장에서
“탈취된 계정(ID/PW)”을 저가에 대량 구매
▶ 유명 오픈마켓, 다크웹, 해킹포럼 등에서
정부·군사·방산·IT·의료 종사자 계정 정보를 선별 - 패스워드 스프레이 공격
▶ 구입한 계정정보로 Exchange, SharePoint 등
마이크로소프트 클라우드 서비스에
비밀번호 맞추기 시도
▶ 2FA 미적용, 약한 패스워드, 계정 재사용 사례 집중 타깃 - 최신 스피어피싱(AitM 공격)도 병행
▶ 최근에는 Evilginx 프레임워크를 활용해
가짜 Microsoft Entra 로그인 페이지를 제작
▶ “방산 서밋 초청장” QR코드를 보내
피싱 사이트 접속 유도,
실제 입력되는 ID/PW, 쿠키, 인증정보 모두 탈취
▶ 이 과정에서 “adversary-in-the-middle” (AitM)
중간자 공격 기법으로
로그인 후 실제 MFA까지 우회 - 클라우드 계정 침투 후, 모든 정보 자동수집
▶ Exchange Online, SharePoint Online 등
클라우드 메일·파일 시스템에 바로 로그인
▶ 합법적 사용자 권한 범위 내
모든 이메일, 첨부파일, 파일쉐어,
공유폴더, 심지어 Teams 채팅까지
자동화 도구로 대량 다운로드
▶ Microsoft Graph, Azure API 등
정상 API까지 악용하여
쉐어드 메일박스, 다른 사용자가 공유한 폴더까지 털어감 - 조직 전체 권한 파악 – ‘AzureHound’로 내부망 탐색
▶ AzureHound(오픈소스 툴)로
조직 내 사용자, 그룹, 권한, 애플리케이션, 디바이스 정보까지
정밀 탐색
▶ 실제 공격자는
“한 번 계정 뚫으면 모든 정보·조직 구조까지 한눈에”
🕵️♂️ 왜 이 방식이 위험한가? – “클라우드 환경은 공격자에게 더 많은 기회를 준다!”
- 클라우드 계정만 탈취해도, 모든 이메일·파일·메신저 데이터 접근
- 실제로 공격자는
‘로그인 성공 → API 자동수집 → 내부정보 털이’
수분~수십분만에 수 GB 데이터 유출 - 공격 흔적이 합법적인 사용자 액션처럼 보여
EDR, NDR, DLP 등 기존 모니터링 체계에서 놓치기 쉬움 - 계정 공유·권한 위임 등
팀 단위·프로젝트 단위로 확산될 위험 - 최근엔 Teams 같은 협업툴 메시지까지
모두 유출 가능, 민감정보/보안커뮤니케이션 무방비 노출
💥 실제 피해사례:
- 유럽 방산업체 :
‘방산 컨퍼런스 초청장’ 위장 메일로
로그인 유도 → Exchange Online 계정 탈취 →
국방 관련 파일, 조직도, 연락망, 계약 정보 대량 유출 - 우크라이나 항공기관 :
러시아 APT들이 연합 공격 →
교통/항공망 정보, 전략자산 리스트, 이메일 전체 털림 - 북미 방위/IT/헬스케어 등 :
Teams 채팅/메일/파일 대량 유출
→ 실제로 타 산업 스파이 캠페인에도 연계
🛡️ 실무 보안 체크리스트:
내 조직이 이런 공격에 노출되지 않으려면
✔️ 모든 클라우드 계정, 반드시 강력한 MFA 적용(필수!)
- 문자/이메일 MFA보다는 앱·하드웨어 키 우선
✔️ 비밀번호 재사용/단순 패턴 즉시 금지
✔️ 클라우드 관리콘솔·API 접근권한 최소화, 계정별 권한주기 점검
✔️ 공유폴더/메일박스 등 위임 권한 정기 점검
✔️ 피싱/스피어피싱 훈련 정례화, 경계심 유지
✔️ 로그분석·이상 로그인 탐지·API 접근 모니터링 체계 구축
✔️ Cloud Access Security Broker(CASB) 등 클라우드 전용 탐지도구 도입 검토
✔️ Teams·메일·파일 등 중요 데이터는 추가 암호화, 접근권한 분리
✔️ Infostealer 악성코드 감염 예방(EDR, 안티바이러스) 병행
🚨 마무리:
러시아 Void Blizzard 사례는
이제 더 이상 해킹이 “직접 시스템 침투”가 아니라
클라우드 계정 하나만 뚫으면 조직 전체가 털릴 수 있는 시대임을 보여줍니다.
☑️ 지금 바로 MFA 적용/관리자 권한 점검/비밀번호 정책/피싱 훈련,
한 번 더 체크해보세요!
질문·경험담·실전 보안 팁은 댓글로 언제든 남겨주세요.
가장 현실적인 보안 이슈, 앞으로도 쉽고 실무적으로 계속 전해드릴게요. 😊
'CyberSecurity > Security🔐' 카테고리의 다른 글
| 🚨 TI WooCommerce Wishlist 플러그인 취약점(CVE-2025-47577) 주의보! (1) | 2025.05.28 |
|---|---|
| 🔒 Firefox 139 보안 업데이트 – “치명적 취약점, 어떻게 노렸고 무엇이 바뀌었나?” (1) | 2025.05.28 |
| 📱 회사폰이 해킹된다면? – 2025년 국내 MDM 대형 해킹사고와 ‘백도어’ 현실 (2) | 2025.05.27 |
| DanaBot: 러시아 해커 생태계, 범죄와 사이버전, 스파이 행위의 ‘경계 없는’ 실체 🚨 (4) | 2025.05.27 |
| Oracle TNS 취약점(CVE-2025-30733) (2) | 2025.05.27 |