익숙한 이름의 작은 유출
HEROIC의 다크웹 침해 스캐너에 따르면, 최근 온라인에 'Microsoft 42' 라벨이 붙은 콤보리스트가 등장해 140건의 노출된 로그인 기록이 포함되어 있었다. 4000억 건 이상의 유출 기록 데이터베이스를 유지하는 이 회사는 지하 포럼과 마켓플레이스에 유통되는 콤보리스트를 지속적으로 모니터링하던 중 이 파일을 발견했다.
수백만 개의 계정을 노출하는 침해 사고에 비하면 140건이라는 숫자는 사소해 보일 수 있다. 하지만 콤보리스트의 규모는 해당 자격 증명을 가진 사람들이 직면하는 위험과 거의 상관이 없다. 중요한 것은 해당 이메일과 비밀번호 쌍이 여전히 유효한지, 그리고 같은 비밀번호를 재사용한 다른 계정이 얼마나 많은지다.
콤보리스트의 실체(그리고 이름이 중요한 이유)
콤보리스트는 일반적으로 단일 해킹이 아닌 과거 유출, 피싱 캠페인, 악성코드 감염 등에서 수집한 이메일 주소 또는 사용자 이름과 비밀번호를 짝지은 평문 파일이다. 'Microsoft 42'라는 레이블이 반드시 마이크로소프트 자체가 침해되었다는 의미는 아니다. 콤보리스트는 구매자와 범죄 포럼이 탈취된 데이터를 정리하기 위해 특정 브랜드, 서비스, 테마를 붙이는 경우가 많으며, 실제로는 서로 관련 없는 출처에서 가져온 자격 증명을 단순히 재포장한 것일 뿐이다.
이러한 작명 관행은 일반인의 눈에는 오해를 불러일으킬 수 있지만, 기초 데이터의 유용성까지 떨어뜨리지는 않는다. 공격자는 자동화된 도구에 콤보리스트를 탑재해 은행 사이트, 이메일 제공업체, 스트리밍 서비스, 기업 로그인 등에 대고 크리덴셜 스터핑(credential stuffing)이라는 공격을 실행한다. 이번에 유출된 140건 중 극히 일부만이라도 다른 곳에서 여전히 활성화된 비밀번호를 사용하고 있다면, 마이크로소프트 자체 시스템이 전혀 건드려지지 않았더라도 해당 계정들은 위험에 처하게 된다.
이러한 자격 증명 재활용 패턴은 훨씬 더 큰 생태계의 일부다. Charter를 강타해 약 4000만 건의 기록을 노출한 ShinyHunters의 비싱 공격처럼 큰 주목을 받는 사건들도 이번과 같은 소규모 콤보리스트의 원천이 되는 지하 공급망을 채운다. 탈취된 자격 증명은 한 번의 유출에만 머물지 않고, 최초 도난 이후 수년 동안 묶음 판매와 재판매를 거치며 새로운 목록으로 재조합된다.
마이크로소프트를 겨냥한 위협이 반복되는 이유
Outlook, Microsoft 365, Azure, Windows에 이르는 마이크로소프트의 생태계는 단순히 그 규모 때문에 끊임없는 표적이 된다. 공격자는 하나의 유효한 마이크로소프트 자격 증명만으로 이메일, 클라우드 저장소, 비즈니스 애플리케이션을 동시에 열 수 있다는 사실을 잘 알고 있으며, 이 때문에 개인 사기꾼과 조직적인 위협 행위자 모두에게 고가치 목표가 된다.
마이크로소프트 테마의 공격이 단순한 비밀번호 유출을 넘어 확대되는 이유도 바로 여기에 있다. 별도 보고서에서는 Storm-2949로 추적되는 위협 행위자가 Microsoft 365 비밀번호 재설정 흐름을 악용해 클라우드 데이터를 탈취한 과정을 자세히 다루면서, 재사용되거나 유출된 비밀번호 하나가 어떻게 훨씬 더 큰 침해의 진입점이 될 수 있는지 보여준다. 자격 증명 유출과 계정 탈취 캠페인은 서로를 강화하는 경향이 있다. 유출된 비밀번호는 재설정과 계정 접근을 가능하게 하고, 성공적인 침입은 새로운 탈취 데이터를 생성해 결국 다음 콤보리스트로 이어진다.
또한 탈취된 자격 증명이 갈수록 갈취 작전에 활용된다는 점도 기억할 필요가 있다. 다른 지면에서 다룬 연구에 따르면 대략 매주 새로운 랜섬웨어 그룹이 등장하며, 이들 중 상당수는 랜섬웨어를 배포하기 전 초기 접근 권한을 얻기 위해 구매하거나 유출된 자격 증명에 의존한다. 고립된 시각으로 보면 140건짜리 콤보리스트는 사소해 보일 수 있지만, 이는 이 거대한 범죄 경제를 돌아가게 하는 원자재의 일부인 셈이다.
이것이 사용자에게 의미하는 것
마이크로소프트 계정을 사용하든, 비밀번호를 재사용한 다른 계정이든, 실질적 위험은 특정 콤보리스트 이름에 있지 않다. 현재 사용하는 비밀번호가 유출 데이터셋 어디엔가 존재하는지 여부가 문제다. HEROIC의 무료 침해 스캐너 같은 도구가 존재하는 이유도 바로 여기에 있다. 수십억 건의 노출 기록을 검색해 개인이 일일이 사건을 추적하지 않아도 자신의 이메일 주소나 비밀번호가 유출 목록에 포함되었는지 확인할 수 있게 해준다.
가장 안전한 가정은, 오래되었거나 보안이 취약한 사이트에서 단 한 번이라도 재사용한 비밀번호는 이미 어딘가에서 유출되었다는 것이다. 이번과 같은 콤보리스트는 재활용된 자격 증명이 여전히 공격자가 침입하는 가장 쉬운 경로라는 사실을 보여주는 최신 사례일 뿐이다.
지금 당장 실천할 조치
- 평판이 좋은 침해 확인 도구에 이메일 주소를 검색해 알려진 유출이나 콤보리스트에 등장하는지 확인하세요.
- 여러 사이트에서 재사용한 비밀번호를 변경하고, 특히 이메일, 금융, 클라우드 계정부터 우선 처리하세요.
- 가능한 모든 곳에서 다중 인증을 활성화하되, 특히 마이크로소프트, 구글, 금융 계정에 집중하세요.
- 비밀번호 관리자를 사용해 고유하고 복잡한 비밀번호를 생성하여, 하나가 유출되더라도 여러 계정이 뚫리지 않도록 하세요.
- 새로운 콤보리스트가 정기적으로 등장하므로 일회성 점검에 그치지 말고 주기적으로 계정을 모니터링하세요.
Microsoft 42 콤보리스트 같은 소규모 유출은 주요 헤드라인으로 이어지는 경우가 드물지만, 자격 증명 위생은 유출이 뉴스에 나온 뒤에도, 별다른 일이 없는 것처럼 보일 때에도 똑같이 중요하다는 사실을 상기시켜 주는 유용한 신호다.
