MS, 커넥트와이즈 앱 침해에 AI 공격 도구 연계…클라우드 권한 악용 경고

마이크로소프트는 중국 연계 공격조직으로 분류한 ‘스톰-0940’이 AI 기반 침투시험 도구 ARTEX를 활용해 커넥트와이즈 클라우드 백업 앱의 권한을 악용했다고 21일 밝혔다. 공격자가 일부 고객사의 클라우드에서 관리자급 접근권을 얻은 사례가 있었지만, 접근 기록만으로 자료 유출을 뜻하지는 않는다.

사람 로그인 없이 이어진 앱 인증

마이크로소프트 보안연구팀에 따르면 공격자는 탈취한 앱 자격증명으로 이미 권한을 부여받은 마이크로소프트 365 고객 환경에 접속했다. 사용자 계정으로 직접 로그인하지 않아도 앱 자체의 권한을 이용할 수 있었다.

마이크로소프트는 ARTEX를 이용한 공격이 2250개가 넘는 고객 테넌트에 로그인을 시도했으며, 분당 2900회의 시도도 관찰했다고 설명했다. 일부 공격에서는 표적 선정부터 클라우드의 높은 권한을 얻기까지 3시간이 채 걸리지 않았다고 했다. 이 수치는 시도 범위와 특정 성공 사례를 각각 가리키며, 2250개 환경이 모두 침해됐다는 뜻은 아니다.

앞서 커넥트와이즈는 17일 클라우드 백업 환경의 앱 신원에 무단 접근이 있었다고 공지하고 서비스 연결을 중단했다. 21일에는 검증을 거쳐 단계적 복구에 들어갔다고 알렸으나, 22일 갱신한 공지에서도 서비스별 공식 재연결 안내 전까지 영향을 받은 연결을 꺼두라고 했다.

별도 관측은 도구 사용을 입증하지 않아

보안업체 익스펠은 21일 자체 고객의 옥타 환경에서 같은 공격 인프라의 IP 주소와 연관된 활동을 조사했다고 발표했다. 이 사례에는 커넥트와이즈 앱이 쓰이지 않았고 기존 계정 침해도 확인되지 않았다. 익스펠은 IP 주소 일치만으로 같은 공격자가 ARTEX를 사용했다고 입증할 수는 없다고 선을 그었다.

마이크로소프트는 일부 고객 환경에서 앱 자격증명 변경과 권한 변경 시도를 관찰했다. 다만 영향을 받은 앱이 설치됐거나 인증에 성공했다는 사실만으로 고객 데이터 접근·반출을 단정할 수 없다고 강조했다. 커넥트와이즈 역시 기존 백업 보관 데이터가 침해됐다는 징후는 없다고 밝혔다. 두 회사의 확인 범위는 서로 다르다.

마이크로소프트는 해당 앱의 서비스 주체 로그인 기록과 예상 밖의 자격증명·권한 변경을 점검하고, 조치 전에 조사 기록을 보존하라고 권고했다. 이 안내는 조직의 클라우드 관리자를 대상으로 한다.

대표 이미지: AI 생성 이미지 / 데이마크

출처: 마이크로소프트 보안연구팀(2026-10-21) https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/
커넥트와이즈 상태 공지(2026-10-16~22) https://status.connectwise.com/pages/incident/619cf82551fec9053d612f09/6ad263692dc48705ab3da2cb
익스펠(2026-10-21) https://expel.com/blog/storm-0940-artex-attacks-connectwise-app-abuse-and-okta-sign-ups/