Enclave는 가짜 Teams 앱이 인증 토큰을 받았다고 밝혔다

Enclave의 말대로라면, 권한이 전혀 없는 가짜 Teams 앱이 계정 토큰을 받았습니다. 그 설명대로라면 Authenticator는 실제 요청 앱을 확인하지 않았습니다. 그 결과 앱은 Microsoft Graph로 메일·파일·캘린더에 전체 위임 접근 권한을 얻었습니다. 마이크로소프트의 설명은 전해지지 않아 어느 쪽이 맞는지 저는 모릅니다. 앱 화면의 이름과 실제 요청 주체가 다를 수 있다는 점이 제게 오래 남습니다.

Huntress는 ConnectWise Cloud Backup 자격 증명 악용 사례를 확인했습니다. 무단 로그인 확인 대상은 M365 테넌트 162곳입니다. 이 사례와 나란히 보면, 계정 보안은 로그인 정보뿐 아니라 앱 권한까지 살펴야 한다는 흐름이 이어집니다.

흥미로운 건 위험 경로가 앱 권한표 바깥에도 있다는 점입니다. 설명이 맞다면, 권한 확인과 토큰을 요청한 앱의 신원 확인은 별개입니다.

설명이 맞다면 Teams라는 화면 이름만으로 실제 요청 앱을 알 수 없습니다. 이 사례에서 가능한 기기·계정 설정도 드러나지 않습니다. 그래서 모든 이용자에게 같은 위험이 있다고 넓힐 수는 없습니다. 저는 앱 이름과 요청 주체, 부여된 권한을 따로 확인하는 일에 눈이 갑니다.

오늘 Microsoft 계정에서 연결된 앱의 권한과 최근 로그인 활동을 함께 확인하십시오. 기억나지 않는 앱이 있으면 부여된 권한을 살펴보고, 사용하지 않는 접근은 취소하십시오. 회사 계정이라면 관리자에게도 알려 앱 이름뿐 아니라 요청 권한을 대조해 보십시오.

회사 계정에서 앱 접근을 승인할 때, 앱 이름과 요청 권한 가운데 무엇을 먼저 확인하십니까?