Microsoft 365 동의 피싱

By Mirko Peters · 2026-04-26 · Updated 2026-07-18

동의 피싱(Consent Phishing)이 기존 다단계 인증(MFA) 방어를 우회하는 방식과 OAuth 권한을 악용하는 방법을 알아보고, 이를 탐지하고 예방하는 방법을 살펴봅니다.

Automatically translated with AI from the original post. Read the English original

Cover: Stop OAuth Consent Attacks in Microsoft Entra ID

동의 피싱은 Microsoft 365 및 Azure 환경에서 가장 빠르게 확산하는 위협 중 하나입니다. 가장 강력한 인증 방어마저 우회하기 때문에 조직이 대비하지 못한 상태에서 피해를 입는 경우가 많습니다. 사용자의 비밀번호를 훔치려는 기존 피싱과 달리, 동의 피싱은 공격자가 '뒷문'을 통해 침투하도록 하며, 로그인을 안전하게 만들기 위해 마련된 메커니즘 자체를 악용합니다. 이 기법은 사용자의 신뢰를 노리고, 클라우드에서 정상적인 싱글 사인온과 앱 통합을 가능하게 하는 것과 같은 OAuth 인가 프레임워크를 활용합니다.

공격자는 동의 피싱을 이용해 다단계 인증(MFA)이 적용된 환경에서도 민감한 비즈니스 데이터에 지속적이고 은밀한 접근 권한을 유지할 수 있습니다. 이 가이드에서는 동의 피싱이 기존 보안을 우회하는 방식과 그 이유를 깊이 있게 살펴보고, 실제 공격 사례를 분석하며, 동의와 관련된 위협을 탐지하고 예방하며 차단하기 위한 실질적인 단계를 안내합니다. 소규모 팀의 Microsoft 365를 관리하든 수천 명의 보안을 책임지든, 공격자가 OAuth 동의 흐름 안에서 어떻게 움직이는지 이해하는 것은 이제 필수 역량입니다.

동의 피싱의 이해와 MFA가 무력화되는 이유

기술적인 세부 사항을 살펴보기 전에, 동의 피싱이 클라우드 보안 분야에서 계속 주목받는 이유에 대한 큰 그림을 파악하는 것이 중요합니다. 여기서 말하는 것은 로그인 정보를 가로채고 방어 체계를 무차별 대입으로 뚫으려는 흔한 피싱 수법이 아닙니다. 동의 피싱은 보다 새롭고 교묘한 유형의 공격에 속하며, 정상적인 앱 권한과 인가 흐름을 무기로 삼아 편의성을 오히려 사용자에게 불리하게 만듭니다.

Microsoft 365와 Azure 같은 클라우드 플랫폼에서는 OAuth가 어디에나 존재합니다. 사용자는 이를 통해 타사 앱을 연결하고, 데이터를 공유하며, 작업을 자동화합니다. 대개 클릭 한 번이면 충분합니다. 안타깝게도 공격자는 사용자가 공식적으로 보이는 것을 신뢰하는 경향이 있다는 점을 알고 있으며, 권한 요청 창이 순간 지나가고 아무도 깊이 묻지 않는 순간을 적극적으로 노립니다. 무엇보다 이러한 공격은 비밀번호를 훔치는 데 의존하지 않습니다. 대신 실제 사용자를 속여 '왕국의 열쇠'를 넘겨주도록 만듭니다. 해킹이 필요 없고, 약간의 사회공학 기법과 교묘한 위장이면 충분합니다.

동의 피싱이 특히 위험한 이유는 다단계 인증(MFA)과 기존 보안 조치를 빠져나갈 수 있기 때문입니다. 공격자는 침입하는 대신 정중하게 요청하며, 서두르거나 잘 알지 못하는 사용자는 악성 앱에 기꺼이 접근 권한을 부여합니다. 이 가이드는 Microsoft ID 시스템에서 이러한 공격이 어떻게, 왜 발생하는지, 그리고 무엇이 이 공격을 특히 위험하게 만드는지 이해하는 데 도움을 줄 것입니다. 올바른 관점을 갖추면, 동의 피싱에 대한 방어가 기존의 자격 증명 보호와는 전혀 다른 사고방식을 요구한다는 것을 알게 될 것입니다.

동의 피싱이란 무엇이며, 왜 다단계 인증을 우회하는가?

동의 피싱은 정상처럼 보이는 OAuth 권한 요청을 승인하도록 사용자를 속여, 공격자가 통제하는 앱에 클라우드 리소스 접근을 허용하게 만드는 공격 유형입니다. 기존 피싱처럼 자격 증명을 훔치거나 추측하는 대신, 동의 피싱은 사용자가 스스로 악성 앱을 승인하도록 만드는 데 의존합니다. 그래서 클라우드 우선 환경에서 특히 위험합니다.

핵심은 이것입니다. 사용자가 동의 화면을 승인하면, 앱은 ID 공급자(Microsoft Entra ID, 이전 명칭 Azure AD)로부터 액세스 토큰과 새로 고침 토큰을 받습니다. 이 토큰을 사용하면 사용자의 비밀번호를 전혀 알지 못해도, 다단계 인증을 건드리지 않고도 이메일, 파일, 일정 등 Microsoft 365 데이터에 접근할 수 있습니다. 공격자는 로그인 방어를 우회할 필요가 없습니다. 사용자가 자발적으로 부여한 접근 권한을 그대로 사용하면 되며, 플랫폼은 이를 완전히 정상적인 것으로 간주합니다.

자격 증명 피싱과 동의 피싱의 차이는 미묘하지만 매우 큽니다. 자격 증명 피싱은 사용자 이름과 비밀번호를 빼내려 하며, 이때는 다단계 인증이 보호에 도움이 되는 경우가 많습니다. 반면 동의 피싱은 공식 OAuth 2.0 인가 코드 흐름 안에서 작동합니다. 다단계 인증을 완전히 적용하더라도, 공격자는 사용자가 기존 세션으로 동의 절차를 완료하도록 만들어 이를 완전히 우회합니다. 일단 OAuth 토큰이 발급되면, 피해자가 비밀번호를 변경하거나 세션을 취소하더라도 공격자의 발판은 그대로 유지됩니다.

OAuth 동의 공격의 실체를 더 깊이 알고 싶다면 Entra ID에서의 OAuth 동의 공격 개요를 살펴보시기 바랍니다. 실제 위험과 조직이 우선적으로 고려해야 할 방어 전략을 자세히 다루고 있습니다. 핵심은 이것입니다. 이런 공격을 근본에서 막으려면 조직은 자격 증명 보안과 MFA를 넘어서서 바라봐야 합니다.

OAuth 동의 피싱은 신뢰를 악용해 데이터를 탈취하는 방식

동의 피싱 캠페인의 공격자는 제3자 애플리케이션을 직접 만들거나 기존 앱을 사칭한 뒤, 사용자에게 광범위한 권한을 승인하도록 유도합니다. 이때 익숙하고 "안전해 보이는" OAuth 2.0 흐름을 주로 사용합니다. 사용자는 "메일 읽기" 또는 "파일 액세스" 같은 요청이 포함된 일반적인 동의 창을 보게 됩니다. 사용자가 "수락"을 클릭하면 악성 앱은 실제 OAuth 토큰을 발급받고, 지정된 Microsoft 365 또는 Azure 리소스에 직접 접근할 수 있게 됩니다.

이후 공격자는 비밀번호, 인증 코드, 우회 기법이 필요 없습니다. OAuth 토큰, 특히 액세스 토큰과 새로 고침 토큰은 사용자 몰래 지속적인 접근을 가능하게 합니다. 이 토큰은 수동으로 취소되거나 만료되기 전까지 유효합니다. 따라서 비밀번호를 변경하거나 다른 곳에서 사용자가 로그아웃하더라도 공격자는 사용자를 가장해 데이터를 계속 가져가고, 메일을 보내고, 작업을 수행할 수 있습니다.

이 방식은 사용자가 동의 대화 상자에 보이는 암묵적인 신뢰를 악용합니다. 특히 화면이 공식적으로 보이고 시간이 촉박한 환경에서 효과가 큽니다. OAuth 흐름은 실제 ID 공급자의 정상적인 절차를 사용하기 때문에 의심스러운 로그인 기록이 남지 않고, 공격자가 넘어야 할 MFA 검증도 없습니다. 공격은 일상 업무에 쓰이는 것과 같은 API를 사용해 조용히 진행됩니다.

실제 침해 사례와 이러한 공격 체인에 대한 실질적인 통찰을 얻으려면 Microsoft 365 OAuth 악용에 대한 단계별 분석을 참고하시기 바랍니다. 결국 이런 지속적인 접근은 방어하는 입장에서 골칫거리입니다. 공격자는 오랫동안 탐지되지 않고 머물 수 있으며, 데이터 완전 복구와 앱 정리 과정은 길고 복잡해질 수 있습니다.

일반적인 기법과 실제 동의 피싱 공격 사례

동의 피싱은 이론상의 위협이 아닙니다. 이미 Microsoft 365, Google Workspace 및 기타 클라우드 환경을 겨냥한 영향력 큰 캠페인에 실제로 사용되었습니다. 공격자는 그럴듯한 앱 이름이나 눈에 잘 띄지 않는 낮은 권한 요청 등 다양한 수법을 끊임없이 바꿔 가며 시도합니다. 그 결과 보안 팀은 계속 진화하는 공격 도구 모음을 상대해야 하며, 방어자는 매번 새로운 수법과 변형에 대응해야 합니다.

이 섹션에서는 이론이 실제 상황과 만나는 지점을 살펴봅니다. 공격 수명 주기, 일반적인 피싱 시도에서 사용자가 실제로 보게 되는 화면, 그리고 공격자가 권한을 상향하거나 플랫폼 간에 이동하는 방식을 확인할 수 있습니다. "천천히 조금씩" 권한이 늘어나는 방식부터 ConsentFix처럼 주목받은 캠페인까지, 여기서 다루는 기법들은 공격자들이 일반적인 통제를 얼마나 교묘하게 피해 가며 끈질기게 움직이는지 잘 보여줍니다.

무엇보다 이러한 실제 사례는 단순히 "MFA만 켜면 된다"는 지침을 넘어서야 하는 이유를 분명히 보여줍니다. 동의 피싱에 대응하려면 사람의 심리와 기술적 예방을 함께 고려해야 합니다. 교묘한 사회공학, 동의 창의 설계 결함, 앱 거버넌스의 공백이 공격자에게 기회를 제공한다는 점을 이해해야 합니다. 이 섹션은 실제 공격을 분석함으로써 보안 팀이 더 날카로운 판단력과 더 나은 완화 플레이북을 갖추도록 돕습니다.

보안 팀이 반드시 알아야 할 동의 피싱 공격 기법 5가지

게시자 사칭: 공격자는 정상 공급업체와 비슷한 이름의 앱을 만듭니다. 예를 들어 "Microsoft Secure Suite"나 "HR Docs Cloud" 같은 이름입니다. 사용자는 익숙한 브랜딩을 신뢰하기 때문에 요청을 승인할 가능성이 높아집니다. 항상 게시자 세부 정보를 자세히 확인하고 출처를 검증하십시오.
권한 오해 유도: 악성 앱은 동의 화면에서 무해해 보이는 권한을 강조하는 경우가 많지만, 실제로는 "모든 사서함 읽기/쓰기"나 "파일 전체 액세스" 같은 고권한 범위를 슬쩍 포함시킵니다. 굵은 글씨만 보도록 교육받은 사용자는 실제로 승인되는 위험을 놓칠 수 있습니다.
이후 단계 확대를 위한 최소 범위 권한 부여: 일부 공격자는 의심을 피하려고 프로필 접근처럼 기본적인 권한만 요청합니다. 이후 초기 토큰 접근 권한을 발판으로 삼아, 단계별 피싱이나 권한 상승을 통해 더 위험한 동의를 시도합니다.
지속적인 OAuth 토큰을 이용한 수평 이동: 내부에 침투한 공격자는 토큰과 앱 권한을 활용해 수평으로 이동합니다. 공유 드라이브나 캘린더 일정에 접근하거나 Microsoft 365 내에서 권한을 높이기도 합니다. 토큰은 처음에는 "겨우 충분한" 수준의 접근 권한만 부여하더라도 나중에 확장되거나 갱신될 수 있습니다.
침해된 타사 앱: 공격자는 직접 앱을 만드는 대신, 많은 테넌트에서 이미 광범위한 권한을 부여받은 신뢰할 수 있는 독립 소프트웨어 공급업체(ISV) 앱을 침해하거나 용도를 바꾸기도 합니다. 이러한 공급망 공격은 탐지가 특히 어렵고 여러 조직으로 빠르게 확산될 수 있습니다.

이러한 메커니즘의 기술적인 원리와 Entra ID를 이러한 공격 패턴에 대비해 강화하는 방법을 자세히 알고 싶다면 OAuth 동의 악용에 대한 이 상세한 분석을 확인해 보십시오. 이는 공격자들이 기존 방어 체계와 MFA를 우회하기 위해 터득한 수많은 방법 중 일부에 불과합니다.

ConsentFix 캠페인의 단계별 작동 방식

초기 피싱 이메일: 공격은 사용자가 "정책 문제를 해결하라" 또는 "사서함을 보호하라"고 요구하는 그럴듯한 이메일에서 시작됩니다. 메시지에는 공식 Microsoft 리소스로 위장한 링크가 포함되어 있습니다.
악성 앱 동의 페이지로 리디렉션: 링크를 클릭하면 사용자는 OAuth 동의 프롬프트로 이동합니다. 화면은 익숙하고 브랜드가 적용되어 정상적으로 보이지만, 그 뒤의 앱은 공격자가 제어하며 종종 복제되었거나 기만적인 이름을 사용합니다.
동의 부여 및 토큰 발급: 사용자는 요청된 권한을 검토하는데, 보통 "보안" 또는 "규정 준수"에 필요하다는 문구로 표시되어 있으며 "수락"을 클릭합니다. 이로써 공격자는 사용자 계정의 액세스 토큰과 새로 고침 토큰을 확보하게 됩니다.
공격자의 지속적인 액세스 확보: 공격자는 이 토큰을 사용해 Microsoft 365 사서함, 파일, 캘린더 또는 기타 민감한 데이터 API에 접근합니다. 동의가 수동으로 취소되기 전까지 이 세션은 비밀번호 변경과 대부분의 MFA 재설정 후에도 유지됩니다.
은밀한 데이터 수집 및 수익화: 공격자는 조용히 이메일 내용, 민감한 문서를 빼내거나 연결된 서비스로 수평 이동을 시도합니다. 모든 활동이 "승인된" 것처럼 보이기 때문에, 팀이 비정상적인 앱 활동이나 새로운 동의 부여를 모니터링하지 않는 한 탐지하기 어렵습니다.

공격자가 Entra ID를 이용해 Microsoft 365에서 이러한 단계를 어떻게 연결하는지 정확히 알고 싶다면 OAuth 동의 공격에 대한 이 기술 가이드를 참고하십시오.

ConsentFix가 Microsoft 365 및 클라우드 보안에 중요한 이유

ConsentFix 캠페인은 공격자가 정상적인 OAuth 흐름을 악용해 Microsoft 365, Google Workspace 및 기타 SaaS 테넌트를 얼마나 빠르고 조용하게 침해할 수 있는지 보여주었습니다. 여러 업계의 조직들이 비밀번호 재설정과 MFA를 적용한 후에도 무단 이메일 접근, 파일 유출, 계정 지속성 연장을 겪었습니다. 이러한 공격은 계층형 방어의 시급성을 보여줍니다. 사용자 인식, 실시간 동의 모니터링, 강력한 앱 거버넌스는 "있으면 좋은 수준"이 아니라, 클라우드에서 대규모 침해와 데이터 손실을 막기 위해 반드시 필요합니다.

악성 애플리케이션 탐지 및 비정상적인 동의 모니터링

OAuth 기반 위협을 발견하고 대응하는 일은 쉽지 않습니다. 공격이 일반적인 업무 트래픽에 그대로 섞여 들어오기 때문입니다. 피해가 눈에 띄었을 때는 악성 앱이 며칠 또는 몇 주 동안 조용히 민감한 데이터를 빼내고 있었을 수 있습니다. 그래서 사전 탐지 전략이 매우 중요합니다. 보안 팀에는 예방 통제만으로는 부족하며, 사용자 동의 패턴, 앱 동작, 그리고 조직 전반에서 "정상"이 무엇인지에 대한 실질적인 통찰이 필요합니다.

이 섹션에서는 조기 탐지와 조사를 위한 실질적인 접근 방식을 다룹니다. 행동 신호, 이상 징후 모니터링, 그리고 Microsoft의 기본 엔터프라이즈 도구를 활용하여 위험한 동의 이벤트가 통제 불능 상태로 번지기 전에 포착하는 방법을 배우게 됩니다. 비정상적인 API 활동부터 새로운 앱 등록의 급증까지, 올바른 단서를 찾으면 진행 중인 공격을 발견하고 신속하게 차단할 수 있습니다.

이를 클라우드 환경의 "보안 카메라"라고 생각하시면 됩니다. 지속적인 모니터링, 자동화된 로깅, 그리고 지능형 알림을 통해 공격자의 체류 시간을 줄이고 피해를 최소화할 수 있습니다. 컴플라이언스 자동화를 목표로 하거나 더 넓은 위험 관리와 연계해야 한다면, Microsoft Defender for Cloud와 같은 도구와의 통합이 한 단계 더 나아가는 데 도움이 됩니다. 자동화를 통해 환경의 컴플라이언스와 보안을 유지하는 방법은 Microsoft Defender for Cloud에서 컴플라이언스를 모니터링하는 방법 가이드를 참고하시기 바랍니다.

행동 신호와 동의 신호를 활용해 악성 애플리케이션을 탐지하는 방법

예상치 못한 동의 부여 모니터링: 새로운 OAuth 동의를 주시하십시오. 특히 일반 업무 시간 외에 승인되었거나 낯선 게시자에서 비롯된 동의에 주의해야 합니다. 새로 승인된 앱의 수가 많다면 위험 신호일 수 있습니다.
의심스러운 API 호출 패턴 분석: 파일에 대한 고속 액세스, 대량 사서함 읽기, 평소와 다른 관리 API 사용과 같은 비정상적인 동작을 살펴보십시오. 공격자는 일반 앱에 비해 권한을 "과도하게 사용"하는 경우가 많습니다.
비정상적인 토큰 활동 주시: 새로 고침 토큰이 빠르게 또는 반복적으로 생성되는지, 토큰 수명 주기에 이상한 패턴이 있는지 추적하십시오. 악성 앱은 새로 고침 토큰을 악용하여 최초 침해 이후에도 오랫동안 액세스를 유지할 수 있습니다.
Microsoft 로그와 Defender 활용: 클라우드 앱 보안 제품과 Entra ID 로그를 사용하여 승인된 모든 앱을 파악하십시오. 이를 통해 일반적인 IT 승인 절차를 우회한 위험하거나 섀도 앱을 드러낼 수 있습니다. Microsoft Defender for Cloud Apps와 같은 도구는 의심스러운 앱 동작에 대한 가시성과 알림을 제공합니다.
섀도 IT 조사 결과에 대한 조치: 많은 사고가 승인되지 않았거나 관리되지 않는 앱 액세스에서 비롯됩니다. 테넌트를 정기적으로 감사하고, 위험한 앱 발견 사항을 후속 조치하며, 과도한 권한이 부여된 OAuth 동의를 정리하십시오. 섀도 IT를 관리하고 불법 앱을 통제하는 방법은 Microsoft 365에서 섀도 IT를 관리하는 방법 가이드에서 더 자세히 확인하실 수 있습니다.

Microsoft 365 Defender 및 Entra ID Protection으로 동의 피싱 공격 조사하기

위협 헌팅: 먼저 Entra ID 로그와 Microsoft 365 Defender 경고에서 최근 동의 이벤트, 의심스러운 앱 생성, 또는 OAuth 앱과 연결된 비정상적인 로그인 패턴을 검색하십시오.
표적 조사: 개별 사용자와 앱의 이력을 자세히 살펴보고, 어떤 권한이 언제, 누구에 의해 부여되었는지 확인하십시오. 이 활동을 정상적인 기준선 및 업무 워크플로 시점과 비교하여 상관관계를 분석하십시오.
修復: 악성 동의가 확인되면 즉시 앱 토큰과 동의 부여를 취소하십시오. Microsoft 365 Defender는 일괄 취소를 지원하며, 추가로 위험한 세션을 표시할 수도 있습니다. 이를 통해 공격자가 지속적인 토큰을 사용해 액세스를 유지하는 것을 막을 수 있습니다.
지속적인 모니터링 및 자동화: 새로운 고위험 앱 동의, 반복적인 관리자 동의 요청, 또는 알려진 악성 게시자 ID에 대한 알림을 자동화하십시오. 더 빠른 대응과 공격자 체류 시간 단축을 위해 자동화된 정책을 설정하십시오.
컴플라이언스 통합 및 정책 시행: 사고 대응과 함께 지속적인 컴플라이언스 모니터링을 위해 Microsoft Defender for Cloud를 사용하고, Entra ID의 ID 거버넌스 접근 방식을 확인하여 보안 정책이 시간이 지나도 계속 시행될 수 있도록 하십시오. 이를 통해 실시간 공격을 포착하고, 새로운 위험을 초래할 수 있는 구성 드리프트나 ID 부채를 예방할 수 있습니다.

동의 정책 및 앱 제한으로 환경 보호하기

동의 피싱을 확실히 차단하려면 근원, 즉 앱이 사용자 동의를 요청하고 받는 방식을 제어하는 정책과 구성 설정을 직접 살펴봐야 합니다. 이러한 제어를 조정할 때는 신뢰할 수 있는 통합 기능으로 사용자의 생산성을 유지하는 한편, 겉으로는 무해해 보이지만 실제로는 위험한 앱이 실수로든 고의로든 들어오지 못하도록 신중하게 균형을 맞춰야 합니다.

이 섹션은 클라우드 관리자와 CISO를 위한 실용적인 로드맵으로, 동의 정책 설계와 게시자 확인부터 OAuth 토큰 수명의 엄격한 관리까지, 활용할 수 있는 주요 기술적 수단을 단계별로 살펴봅니다. 이러한 전략을 올바르게 적용하면 위험을 최소화하고, 공격자가 침투에 성공하더라도 피해 범위를 제한할 수 있습니다. 특히 SaaS 통합 기능이 늘어나고 섀도 IT를 무시하기 어려워질수록 일관된 거버넌스가 매우 중요합니다.

거버넌스는 혁신을 거부하는 것이 아니라, 접근을 통제하고 신뢰할 수 있는 워크플로를 정의하며, 환경이 성장하는 동안에도 건전성을 유지하는 경계를 시행하는 것입니다. 더 넓은 보안 프레임워크를 구축하고 계신다면 여기서 얻는 교훈은 Microsoft 365를 넘어 Power Platform 및 기타 비즈니스 SaaS에도 잘 적용됩니다. 추가 인사이트가 필요하다면 이 Power Platform 거버넌스 및 보안 모범 사례 가이드를 참고하세요.

동의 정책을 구성하고 사용자 동의를 제한하는 방법

기본적으로 사용자 동의 제한: Microsoft Entra ID에서 테넌트 전체 설정을 구성하여 고위험 앱 동의는 관리자만 승인할 수 있도록 합니다. 최종 사용자에게는 저위험 앱에 대해서만 동의 화면이 표시되어 실수로 승인하는 상황을 최소화합니다.
관리자 승인 워크플로 사용: 광범위하거나 민감한 권한을 요청하는 모든 앱에는 관리자의 검토와 승인이 필요하도록 합니다. 이렇게 하면 위험한 앱이 "드라이브바이" 방식으로 권한을 얻는 것을 막고, 동의 활동에 대한 공식 기록을 남길 수 있습니다.
권한의 세분화된 범위 지정: 포괄적인 "모두 허용" 권한은 사용하지 마세요. 동의는 비즈니스상 꼭 필요한 범위로만 제한합니다. 사용자 지정 범위 정의를 활용하면 공격자가 위험한 권한을 몰래 얻기가 더 어려워집니다.
정기적으로 동의 부여 내역 감사: 현재 테넌트에 권한을 가진 앱을 검토하고, 특히 IT의 감독 없이 사용자가 부여한 앱을 중점적으로 확인합니다. 오래되었거나 불필요한 동의는 취소하여 공격 표면을 줄입니다.
조건부 액세스 정책 활용: 동의 제한과 함께 위치, 디바이스 또는 위험 기반 시행을 포함한 강력한 조건부 액세스 정책을 적용하여 세션 하이재킹이나 관리되지 않는 디바이스의 액세스를 차단합니다.

Entra ID를 강화하고 위험한 동의 흐름을 최소화하는 방법에 대한 자세한 실무 팁은 이 포괄적인 상세 가이드에서 확인할 수 있습니다.

게시자 확인 적용 및 첫 번째 파티 앱 액세스 제한

게시자 확인 필수화: 확인된 게시자의 앱만 환경에서 사용자 또는 관리자 동의를 요청할 수 있도록 허용합니다. 이를 통해 앱 개발자가 신원을 검증받았음을 보장하며, 추가적인 신뢰 계층이 되어 대부분의 명백한 사칭 공격을 차단합니다.
미확인 게시자 차단: Entra ID 및 기타 플랫폼에서 게시자 확인 기준을 충족하지 않는 앱의 동의 요청을 자동으로 거부하는 기본 정책을 설정합니다. 기존 및 신규 앱 모두에 대해 게시자 상태를 정기적으로 검토하세요.
신뢰할 수 있는 첫 번째 파티 앱으로 동의 제한: 첫 번째 파티 앱(예: Microsoft 공식 앱)이나 명시적으로 승인된 타사 앱만 새로운 동의를 요청할 수 있도록 구성을 강화합니다. 이렇게 하면 손상된 앱에서 다른 앱으로 측면 이동(lateral movement)할 위험을 크게 줄일 수 있습니다.
게시자 액세스 감사 및 목록 관리: 게시자 상태와 앱 목록을 IT의 정기 보안 검토 주기에서 항상 다루는 항목으로 삼고, 자동화 도구를 사용하여 새로운 게시자나 승인되지 않은 게시자를 표시합니다.
연결된 모든 플랫폼에 적용: 게시자 확인과 앱 제한을 Power Platform, Teams 앱 및 연결된 SaaS로 확장합니다. 더 넓은 범위에서 이를 적용하는 방법은 이 Power Platform 거버넌스 가이드에서 자세히 알아볼 수 있습니다.

OAuth 보안을 위한 토큰 수명 관리 및 지속적 모니터링 구현

액세스 토큰의 수명을 짧게 설정하면 공격자가 탈취했거나 동의된 토큰을 악용할 수 있는 시간이 줄어듭니다. 액세스 토큰이 빠르게 만료되고 새로 고침 토큰이 주기적으로 교체되도록 토큰 만료 정책을 조정하십시오. 토큰 바인딩과 위험 기반 취소를 구현하여 의심스럽거나 잘못 사용된 세션을 차단하십시오. 이러한 조치에 Microsoft Defender for Office 365 및 Entra 조건부 액세스 정책과 같은 도구를 활용한 토큰 사용 및 동의 이벤트의 지속적인 모니터링을 결합하여 비정상적인 패턴을 탐지하면, 탈취된 토큰이 지속적이고 눈에 띄지 않는 위협으로 이어지는 것을 막을 수 있습니다. 실제 설정 방법과 지속적인 모니터링 전략은 이 Microsoft 보안 권장 사항을 참고하십시오.

동의 피싱에 대비한 거버넌스 강화 및 사용자 인식 제고

기술적 통제만으로는 진화하는 클라우드 공격에 대응하는 데 한계가 있습니다. 장기적인 회복력을 확보하려면 강력한 거버넌스, 정기적인 감사, 사용자 교육이 서로를 뒷받침하는 보안 문화가 필요합니다. 동의 피싱은 기술뿐 아니라 사람의 심리를 이용하므로, 공식 정책과 팀 구성원의 일상적인 주의가 모두 뒷받침될 때 성공할 수 있습니다.

이 섹션에서는 OAuth 거버넌스 프레임워크를 구축하고 기존 앱 권한 부여를 감사하는 방법, 사용자가 의심스러운 동의 요청을 알아볼 수 있도록 돕는 실질적인 교육 전략, 그리고 공격자와 데이터 사이에 실질적인 마찰을 만드는 워크플로를 설정하는 방법을 자세히 다룹니다. 목표는 보안 방어가 IT 부서에만 머물지 않고 비즈니스 전반에 걸쳐 적용되도록 하는 것입니다.

복잡한 앱 생태계를 운영하는 조직에서는 공급망 어디에서든 발생한 실수가 외부로 파급될 수 있으므로 위험이 더욱 큽니다. 사용자 기반과 앱 목록이 계속 늘어나더라도 민감한 데이터를 안전하게 보호하고 규정 준수를 유지하려면 사전 예방적이고 지속적인 거버넌스와 인식 제고가 필수적입니다. DLP와 Microsoft 환경의 고급 감사를 포함한 한 단계 높은 거버넌스 지침은 이 심층 Copilot 거버넌스 가이드와 Microsoft Purview Audit를 이용한 사용자 활동 감사 방법에 관한 자세한 내용을 참고하십시오.

OAuth 거버넌스 프레임워크 구축 및 기존 권한 부여 감사

동의 및 앱 사용 정책 정의: 어떤 사용자와 앱이 동의를 요청할 수 있는지, 허용되는 권한 유형과 비즈니스 사용 사례를 명확하게 규정하십시오. 조직 내 모든 구성원이 규칙을 알 수 있도록 이 지침을 공개하십시오.
전체 앱 목록 유지 관리: Entra ID에 연결된 모든 OAuth 앱을 목록화하고, 각 동의를 누가 부여했는지, 게시자, 요청된 범위, 비즈니스상의 필요성을 기록하십시오. Entra API 또는 Microsoft Defender를 이용한 자동 검색으로 이 작업을 빠르게 진행하고 섀도 앱도 찾아낼 수 있습니다.
정기적인 권한 부여 감사 수행: 분기별 또는 반기별 검토를 예약하여 오래되었거나 중복되었거나 위험한 권한을 찾아내십시오. 앱 게시자의 확인 상태를 교차 점검하고, 더 이상 사용되지 않는 앱이나 의심스러워진 앱에 대한 권한 부여를 제거하십시오.
편차 모니터링 및 조치: 승인되지 않은 게시자에게 광범위한 권한을 부여하는 등의 정책 위반에 대한 경보를 설정하고, 격차가 발견되는 즉시 시정 캠페인을 실행하십시오. 정기적인 감사는 방어 체계를 민첩하게 유지하고 앱 생태계를 건강하게 관리하는 데 도움이 됩니다.
거버넌스와 규정 준수 및 DLP 통합: 위험도가 높거나 규제를 받는 환경에서는 OAuth 거버넌스를 Microsoft Purview DLP 및 감사 로깅과 연계하십시오. 대규모로 사용자 활동과 커넥터 경계를 모니터링하는 실질적인 방법은 이 Purview 거버넌스 가이드를 참고하십시오.

인식 교육 강화 및 앱 승인 워크플로 개선

OAuth 위험에 대한 집중 사용자 교육: 의심스러운 앱 요청, 오해를 일으키는 권한, 브랜드 인터페이스에 대한 과도한 신뢰의 위험성을 직원들에게 가르치기 위해 정기적으로 워크숍이나 e-러닝 모듈을 진행하십시오. 사용자가 危険 신호를 알아볼 수 있도록 피싱 이메일과 동의 화면 같은 실제 사례를 강조하십시오.
동의 피싱 공격 시뮬레이션: OAuth 흐름을 중심으로 한 모의 피싱 테스트를 실시하여 사용자가 위험 신호를 인지하고 대응할 수 있도록 훈련합니다. 의심스러운 요청을 두려움 없이 신고할 수 있도록 사용자를 독려합니다.
앱 승인 워크플로 공식화: 모든 타사 앱 통합, 특히 민감한 권한을 요청하는 앱은 누구든 동의를 부여하기 전에 IT 주도의 승인 절차를 거치도록 의무화합니다.
정책 인식 캠페인: 기술 교육을 포스터, 정기적인 알림, 정책 재교육으로 보완합니다. 안전한 동의 결정을 "한 번 설정하고 끝"이 아닌 지속적인 주제로 다룹니다.
사용자 측면에서의 Shadow IT 모니터링: 워크플로 강제 적용과 함께, 승인되지 않은 SaaS나 비인가 AI 에이전트 사용 시도를 탐지하고 차단하는 기술을 도입합니다. AI 섀도 IT 문제 대응에 대해 더 알아보려면 이 거버넌스 가이드를 참고하십시오.

ISV 및 CISO를 위한 개발자 측 보안 위생 및 앱 보안 권장 사항

게시자 확인: 게시자를 등록하고 확인하여 앱의 투명성을 높이고 기업 구매자의 신뢰를 확보합니다.
명확하고 최소한의 권한: 기능 구현에 꼭 필요한 최소 범위만 요청합니다. 사용자의 의심을 키우고 승인 거부 위험을 높이는 과도한 권한 요청은 피합니다.
안전한 동의 흐름: 동의 페이지에 앱 이름을 정직하게 표기하고, 명확한 설명과 분명한 목적을 제시하여 사용자의 혼란과 실수로 인한 승인을 방지합니다.
보안 개발 관행 적용: 앱 구성 요소를 정기적으로 패치하고 보안 테스트 파이프라인을 구축하여 공급망 취약점을 차단합니다.
CISO 정책 가이드라인: 내부 앱 보안 검토를 의무화하고, 최신 상태의 앱 목록을 유지하며, 새로운 통합을 승인하기 전에 타사 게시자 위험에 대한 조직의 입장을 명문화합니다.

함께 들어보면 좋은 에피소드

Microsoft 365 동의 피싱에 관심이 있다면, 다음 에피소드들이 안전한 Microsoft 365 도입, 데이터 보호, 거버넌스 및 AI 위험 관리에 대한 실무적인 배경을 제공합니다.

Microsoft Purview – Simply Explained — 분류, 보존, 규정 준수 및 보호가 하나의 Microsoft 데이터 거버넌스 모델에서 어떻게 연결되는지 살펴봅니다.
Microsoft Defender XDR – Simply Explained — 데이터 보호 제어를 탐지, 조사 및 대응과 연결하는 방법을 알아봅니다.
Conditional Access – Simply Explained — ID 및 위험 신호가 액세스 결정에 어떤 맥락을 더하는지 이해합니다.
Microsoft AI Agent Harness – Simply Explained — AI 자동화를 더 안정적이고 관찰 가능하며 안전하게 만드는 제어 기능을 살펴봅니다.

이 에피소드들은 이 글의 개념을 실제 설계 및 도입 결정으로 옮기는 데 도움이 됩니다.