MFA 뚫린 Azure, 당신의 클라우드 계정은 안전한가?

“

최근 발생한 대규모 Azure 계정 탈취 사건은 MFA를 우회하는 패스워드 스프레이 공격의 위험성을 보여줍니다. 레거시 프로토콜인 ROPC의 허점을 이용한 이번 공격의 원인과 국내 기업의 구체적인 대응 방안을 전문가 시각에서 심층 분석합니다.

”

전문가 통찰 및 한줄평 (Insight)

MFA를 설정했다는 사실만으로 안심하는 시대는 끝났다.

레거시 프로토콜의 허점을 파고드는 공격은 국내 기업의 클라우드 보안 정책 전반에 대한 재점검을 요구하고 있다.

이번 사태는 ‘기능 활성화’가 아닌 ‘정확한 구성’이 보안의 핵심임을 명확히 보여준다.

최근 마이크로소프트 Azure 환경을 겨냥한 대규모 계정 탈취 시도가 발생해 업계에 큰 경종을 울리고 있다.

단순한 비밀번호 유출 사고가 아니다.

다단계 인증(MFA)이라는 강력한 방어벽을 우회하는 정교한 공격이 성공했기 때문이다.

8,100만 건이 넘는 로그인 시도 끝에 최소 78개의 계정이 탈취된 이번 사건은, 클라우드를 사용하는 국내 수많은 기업에게 결코 남의 이야기가 아니다.

특히 Azure MFA 보안 설정 허점을 파고들었다는 점에서 시사하는 바가 크다.

핵심 이슈: MFA를 무력화한 ‘ROPC’의 정체

이번 공격의 핵심은 ‘패스워드 스프레이(Password Spraying)’ 기법과 오래된 인증 방식인 ‘ROPC(Resource Owner Password Credentials)’의 조합이다.

패스워드 스프레이는 하나의 패스워드로 여러 계정에 로그인을 시도하는 방식이다.

여기서 주목할 점은 공격자가 MFA를 우회하기 위해 Azure CLI(명령줄 인터페이스) 와 ROPC 인증 흐름을 악용했다는 사실이다.

ROPC는 OAuth 2.0의 초기 인증 방식 중 하나로, 사용자의 아이디와 비밀번호를 애플리케이션이 직접 받아 인증 서버에 전달하는 레거시 프로토콜이다.

이 방식은 구조적으로 MFA와 호환되기 어려워 현재는 사용이 권장되지 않는다.

마이크로소프트 역시 공식 문서에서 ROPC 사용을 지양하라고 경고하고 있다.

하지만 문제는 많은 기업이 이 레거시 프로토콜에 대한 접근을 명시적으로 차단하지 않았다는 데 있다.

공격자는 바로 이 허점을 노렸다.

최신 웹 브라우저를 통한 로그인이 아닌, ROPC를 사용하는 Azure CLI를 통해 로그인을 시도함으로써 MFA를 요구하는 조건부 액세스 정책(Conditional Access Policy, CAP)을 건너뛸 수 있었다.

MFA를 ‘모든 클라우드 앱’이 아닌 특정 앱에만 적용했거나, 신뢰할 수 없는 위치에서만 MFA를 요구하도록 설정한 경우 이번 공격에 속수무책으로 당할 수밖에 없는 구조다.

조건부 액세스 정책(CAP) 설정별 취약점 비교

결국 이번 사태는 MFA 자체의 문제라기보다, 이를 적용하는 정책(CAP) 설정의 미흡함에서 비롯된 것이다.

기업의 CAP 설정 수준에 따라 보안 강도가 어떻게 달라지는지 비교하면 다음과 같다.


보안 정책 수준	주요 설정 내용	ROPC 공격 취약점	국내 기업 적용 현황
정책 미적용	MFA 및 조건부 액세스 정책을 전혀 사용하지 않음	매우 높음. 비밀번호만 유출되면 즉시 계정 탈취 가능	일부 영세 기업 또는 초기 스타트업에서 발견됨
부분 적용	관리자 그룹, 혹은 특정 중요 앱(예: Office 365 웹)에만 MFA 적용	높음. Azure CLI 등 정책 미적용 앱을 통한 우회 공격에 취약	다수의 중소·중견 기업이 비용·관리 편의상 이 방식을 채택
위치 기반 적용	외부 IP 등 비신뢰 위치에서의 접속에만 MFA를 적용	중간. 공격자가 신뢰된 IP 대역을 경유할 경우 우회 가능성 존재	재택근무가 활성화된 기업에서 흔히 사용하는 정책
전체 적용	‘모든 사용자’, ‘모든 클라우드 앱’에 MFA를 기본 적용	낮음. 레거시 인증 차단 정책이 없다면 여전히 일부 공격에 노출	보안 성숙도가 높은 대기업 및 금융권에서 주로 적용
강화된 전체 적용	전체 적용 + 레거시 인증 프로토콜(ROPC 등) 차단 및 클라이언트 앱 유형까지 제한	매우 낮음. 현재로서는 가장 강력한 방어 체계 구축 가능	글로벌 표준을 따르는 소수 기업 또는 보안 전문 기업에서 도입

한국 시장에서의 시사점: ‘우리 회사’는 괜찮은가?

국내 클라우드 전환율은 가파르게 상승하고 있으며, 특히 대기업과 게임, IT 서비스 기업을 중심으로 Azure 사용률이 높다.

문제는 속도에 비해 보안 설정의 성숙도는 더디게 따라온다는 점이다.

필자가 최근 컨설팅한 한 중견기업의 경우, 관리자 계정에만 MFA를 적용하고 일반 개발자 계정은 방치해 둔 사례가 있었다.

이번 Azure 공격은 바로 이런 ‘괜찮겠지’하는 안일함이 얼마나 위험한지를 명확히 보여준다.

개발자들은 업무 편의성을 위해 웹 브라우저보다 CLI 환경을 선호하는 경우가 많다.

만약 회사의 보안 정책이 웹 기반 로그인 시나리오에만 초점을 맞추고 있다면, 이번 공격과 동일한 방식으로 내부 시스템이 뚫릴 수 있다.

따라서 국내 기업들은 지금 즉시 다음과 같은 조치를 검토해야 한다.

첫째, 조건부 액세스 정책(CAP) 전면 재검토: ‘모든 사용자’와 ‘모든 클라우드 앱’에 MFA를 적용하는 것을 기본 원칙으로 삼아야 한다. 특정 사용자 그룹이나 앱만 보호하는 것은 더 이상 유효한 전략이 아니다. 특히 Azure CLI 같은 개발 도구 역시 예외 없이 정책 적용 대상에 포함시켜야 한다.
둘째, 레거시 인증 프로토콜의 과감한 차단: Microsoft Entra ID(구 Azure AD) 관리 포털에서 ROPC와 같은 레거시 인증 프로토콜을 사용하는 클라이언트의 접근을 원천적으로 차단하는 정책을 활성화해야 한다. 더 이상 사용하지 않는 낡은 문은 굳게 잠가두는 것이 상책이다. 관련 기술 트렌드 더 보기

결론적으로, 클라우드 보안은 단순히 솔루션을 도입하는 것을 넘어, 기업의 환경과 사용 시나리오를 면밀히 분석하여 정책을 ‘제대로’ 구성하고 지속적으로 관리하는 과정이다.

이번 공격은 클라우드 보안의 책임이 공급자(CSP)뿐만 아니라 사용자에게도 있음을 다시 한번 일깨워주고 있다.

자주 묻는 질문 (FAQ)

Q: ROPC가 정확히 무엇이며 왜 위험한가요?

A: ROPC(Resource Owner Password Credentials)는 사용자의 아이디와 비밀번호를 앱이 직접 처리하는 낡은 OAuth 2.0 인증 방식입니다.

이 방식은 MFA 같은 최신 보안 메커니즘과 연동이 어렵고, 비밀번호가 앱에 직접 노출될 위험이 있어 현재는 사용이 권장되지 않는 레거시 프로토콜입니다.

Q: 저희 회사도 Azure를 쓰는데, 이 공격에 안전한지 어떻게 확인하나요?

A: Microsoft Entra ID(Azure AD)의 로그인 로그와 조건부 액세스 정책 설정을 확인해야 합니다.

로그인 로그에서 레거시 인증(Legacy Authentication)을 통한 로그인 시도가 있는지 검토하고, 조건부 액세스 정책이 ‘모든 클라우드 앱’에 적용되어 있는지, 레거시 인증 차단 정책이 활성화되어 있는지 점검해야 합니다.

Q: MFA만으로는 부족하다면 추가로 어떤 보안 조치를 해야 하나요?

A: MFA를 기본으로 하되, 이번 사례처럼 정책 설정이 중요합니다.

추가적으로 Entra ID Identity Protection과 같은 솔루션을 활용해 위험 기반 로그인(Risky Sign-in)을 자동으로 탐지하고 차단하거나, 권한 있는 ID 관리(PIM)를 통해 관리자 계정 권한을 시간제한으로 부여하는 등 제로 트러스트(Zero Trust) 원칙에 기반한 다층적 방어 전략을 수립해야 합니다.

출처: https://thehackernews.com/2026/07/azure-cli-password-spray-hits-at-least.html

— 이 글과 관련된 추천 서비스 —