Microsoft가 Storm-0940이 ConnectWise 관련 OAuth 앱 신원을 악용한 공급망 공격을 분석했습니다. 이미 허용된 앱의 권한으로 고객 환경에 접근한 사례이며, AI 도구가 공격 과정의 자동화에 사용됐다고 설명합니다. Microsoft Security 공식 발표
앱은 사람이 대화형 로그인을 하지 않아도 권한에 따라 동작할 수 있습니다. 그래서 사용자 로그인 기록만으로 조사 범위를 정하면 서비스 주체의 접근과 이후 권한 변경을 놓칠 수 있어요. 공급업체의 앱 이름보다 앱 식별자를 기준으로 연결 관계를 확인하는 편이 정확합니다.
이 글의 목차
OAuth 앱의 권한은 직원 비밀번호와 별도로 움직입니다
기업용 SaaS는 다른 서비스가 고객 환경의 데이터에 접근하도록 OAuth 앱에 권한을 부여할 수 있습니다. 서비스 주체는 그 앱이 특정 조직 안에서 동작할 때 사용하는 신원으로 이해하면 편해요. 앱의 자격 증명으로 수행한 작업은 직원이 직접 로그인한 작업과 기록 경로가 다를 수 있습니다. 직원 계정의 비밀번호를 바꿨다고 앱의 접근까지 모두 끝나는 것은 아닙니다.
공급망 공격이라는 표현도 이 연결을 가리킵니다. 조직이 직접 설치한 서버만 침해 경로가 되는 것이 아니라, 이미 신뢰하고 연결한 공급업체의 앱이 접근 통로가 될 수 있습니다. 앱의 표시 이름은 바뀌거나 비슷하게 만들 수 있으므로 식별자와 권한 부여 내역을 기준으로 연결을 확인합니다. 승인한 적이 있다는 사실과 현재도 그 권한이 필요한지는 별도로 검토합니다.
공격 속도보다 먼저 정리할 조사 단위
AI로 공격 작업을 자동화했다는 설명이 주목받지만, 조사에서는 실제 인증과 권한 변경, 데이터 접근의 연결을 확인하는 것이 우선입니다. 한 번의 인증 성공은 접근 통로가 사용됐다는 신호이며 곧바로 모든 자료가 유출됐다는 증거는 아닙니다. 반대로 사용자 로그인 이상이 없다는 이유만으로 앱 기반 접근을 제외해서도 안 됩니다.
시간 순서로 앱 인증, 자격 증명 추가, 권한 변경, 후속 API 호출을 이어 붙이면 조사의 빈 구간을 찾을 수 있습니다. 여러 로그의 시간대와 보관 기간이 다를 수 있으므로 기준 시간을 맞춥니다. 정상 관리자가 수행한 변경과 의심스러운 변경을 구분할 수 있도록 변경 승인 기록과 담당자 정보도 함께 보존합니다.
의심 앱을 찾았을 때 대응을 나누는 방법
가상의 사고 대응에서는 먼저 앱 식별자와 부여 권한, 관련 로그인·감사 기록을 확보하고 업무 담당자와 정상 사용 여부를 대조합니다. 그다음 확인된 위험에 맞춰 접근 제한과 자격 증명 교체를 수행합니다. 앱을 삭제하면 업무가 멈추거나 조사에 필요한 연결 정보가 사라질 수 있으므로 증거 보존과 차단의 순서를 사고 대응 책임자가 정해야 합니다.
복구 후에는 원래 연결이 다시 살아났는지만 확인하지 않습니다. 공격자가 추가한 별도 자격 증명이나 소유자, 권한 부여가 남아 있지 않은지 검토합니다. 이 과정은 일반적인 방어 관점의 조사 예시이며 특정 조직의 침해를 판정한 결과가 아닙니다. 실제 영향은 공급업체의 현재 안내와 해당 조직에서 확보한 증거로 판단합니다.
증거를 보존하며 확인할 항목
- 해당 앱의 서비스 주체 로그인과 감사 로그를 확보합니다.
- 앱 자격 증명 추가, 권한 부여와 소유자 변경을 대조합니다.
- 연결 복구는 ConnectWise의 현재 안내와 조직의 대응 절차에 맞춥니다.
증거를 지우는 앱 삭제를 조사 첫 단계로 삼지 않습니다. 확인된 악성 변경과 정상 관리 작업을 구분한 뒤 필요한 차단·복구를 수행합니다.
발표문 기준일: 2026-10-21 · 확인일: 2026-10-24
.jpg){kind=link}