MS, AI 챗봇 앞세운 구독형 범죄 플랫폼 '이블토큰' 차단…계정 1만2000개 탈취

마이크로소프트가 구독료를 받고 계정 탈취를 대행해 온 범죄 플랫폼 '이블토큰(EvilTokens)'에 대한 업계 공동 차단 작전을 주도했다고 밝혔다. 이 플랫폼은 AI 챗봇을 전면에 내세워 몇 달 만에 마이크로소프트 계정 1만2000개를 장악했다. 단순한 피싱 키트가 아니라, 침해 대상 선정부터 사기 실행까지 한 곳에서 처리하는 '서비스형 범죄' 인프라였다는 점이 특징이다.

이블토큰은 지난 2월 텔레그램 채널을 통해 등장했다. 초기 가입비 1500달러에 매달 500달러를 받는 구독 모델이었고, 대량의 이메일 계정을 탈취하는 데 필요한 대부분의 단계를 하나의 서비스로 묶어 제공했다. 고객은 이 플랫폼을 통해 받은편지함을 분석하고, 가장 큰 수익을 낼 수 있는 표적을 골라내고, 기업 직원을 속여 자금을 공격자 계좌로 옮기게 만들 후속 메일까지 작성할 수 있었다.

서비스의 핵심에는 피해자의 받은편지함을 읽고 신뢰 관계, 결제 권한, 민감한 업무 책임을 식별해 주는 AI 챗봇이 있었다. 나아가 어떤 사기 전략이 성공할 가능성이 높은지 추천하고, 신뢰하는 연락처를 사칭한 메시지를 대신 써 주기까지 했다. 대시보드에서는 표적 조직의 프로필에 맞춰 유인 문구를 조정할 수 있었고, 한 번에 침해된 메일 5000건을 분석했다. 자금 집행 권한을 가진 직원과 그 직원이 보고하는 관리자, 관리자가 자금 이체를 설득할 만한 그럴듯한 시나리오를 AI가 자동으로 찾아내는 구조였다.

계정 탈취에는 취약점이 아니라 정상적인 OAuth 절차인 디바이스 코드 인증(device code authentication)이 악용됐다. 원래 TV나 입력 수단이 제한된 기기를 위해 설계된 방식으로, 기기가 코드를 제시하면 사용자가 별도 기기의 브라우저에 그 코드를 입력해 로그인을 완료한다. 이 플랫폼은 대량 스팸 발송을 자동화했고, 악성 링크나 첨부파일을 누른 사용자를 숨겨진 자동화 스크립트가 도는 웹페이지로 보냈다. 이 스크립트는 사용자의 마이크로소프트 ID 공급자와 실시간으로 상호작용해 공격자 기기를 등록할 코드를 생성했으며, 해당 ID 공급자는 마이크로소프트 엔트라(Entra)로 확인됐다. 사용자는 공식 디바이스 로그인 포털에 코드를 복사해 넣으라는 안내와 함께 그 코드를 보게 된다.

플랫폼 백엔드는 Node.js로 짜인 복잡한 로직을 통해 서명이나 패턴 기반 탐지를 우회했다. 동적 디바이스 코드 생성부터 침해 이후 활동까지 전 과정이 자동으로 이어졌다. 마이크로소프트에 따르면 피해 규모는 전 세계 1만 개 조직에 속한 계정 1만2000개에 달하며, 미국에 가장 많이 몰려 있고 캐나다, 영국, 호주, 인도, 프랑스가 뒤를 이었다. 도매 유통, 건설, 금융 서비스, 부동산, 고등 교육, 의료 분야 조직이 표적이 됐다. 보안 업체 스파이클라우드(SpyCloud)가 이번 차단 작전을 지원했다.

단속 과정에서 마이크로소프트는 법적 절차와 파트너 네트워크를 동원해 이블토큰 운영에 쓰인 웹사이트 50개와 도메인 150개를 압수했다. 영국 런던경찰청은 이 범죄 플랫폼과 연관된 혐의로 남성 2명을 체포했다.

이 사건이 주목받는 이유는 대규모 계정 탈취와 탈취 이후 단계의 성격이 달라졌다는 점이다. 기존에는 공격자가 수천 통의 메일을 뒤져 조직의 관리 체계와 공급업체, 고객, 제3자 관계를 정리하는 데 상당한 시간이 필요했다. AI 보조 도구는 이 정찰 부담을 크게 줄여 준다. 마이크로소프트는 "받은편지함이 한 번 침해되면 범죄자는 그 내용을 며칠이 아니라 몇 분 만에 이해할 수 있다고 가정해야 한다"고 경고하면서, 강한 신원 보호와 모니터링은 여전히 필수지만 결제 정보 변경, 자금 이체, 이례적 거래 승인 요청은 신뢰할 수 있는 별도 채널로 독립 검증하라고 권고했다.

개발자 입장에서 이번 사례는 인증 흐름 설계 자체가 공격 표면이 될 수 있음을 보여준다. 디바이스 코드 인증은 정당한 사용자 편의 기능이지만, 코드 발급과 승인 사이의 시간 창과 사용자 확인 절차가 느슨하면 대량 계정 등록으로 악용될 수 있다. 조건부 액세스 정책, 디바이스 코드 발급·사용 로그, 비정상적인 토큰 획득 패턴에 대한 모니터링을 함께 점검할 필요가 있다. 또한 메일함 접근 권한이 곧 조직 구조와 결제 권한 정보에 대한 접근이라는 전제 아래, 침해 이후를 가정한 탐지와 승인 절차를 설계해야 한다.

다만 이번 발표는 마이크로소프트의 설명과 스파이클라우드의 지원 내용을 바탕으로 한 것이며, 피해 규모는 플랫폼을 이용한 공격자들이 탈취한 계정 전체를 집계한 수치다. 개별 조직 단위의 피해 내역이나 공격자 신원에 대한 구체적 정보는 공개되지 않았다.