Microsoft 위협 행위자 명명 규칙: Typhoon, Blizzard, Storm 해독하기

By Mirko Peters · 2026-10-24

Microsoft가 Typhoon, Blizzard, Storm 레이블로 사이버 위협 행위자를 어떻게 명명하는지 알아봅니다. 공격자의 동기와 출처를 쉽게 이해할 수 있습니다.

Automatically translated with AI from the original post. Read the English original

Microsoft가 사이버 위협 행위자를 분류하고 명명하는 방식을 알아봅니다. 중국의 Typhoon, 러시아의 Blizzard, 신원이 확인되지 않은 그룹의 Storm처럼 각 요소가 무엇을 뜻하는지 살펴봅니다. 이러한 운영상의 별칭을 해독하면 깊은 사이버 보안 배경지식이 없어도 공격의 출처, 동기, 기법을 보안 팀이 빠르게 파악하는 데 도움이 된다는 점을 설명합니다.

핵심 요약

• Microsoft는 위협 행위자의 계열 이름을 지리적 출처나 주요 운영 동기와 연결합니다.
• Typhoon은 중국에서 비롯되었거나 중국과 연계된 행위자를 가리키며, Blizzard는 러시아를 가리킵니다.
• Sleet은 북한을, Sandstorm은 이란을 나타내며, Tempest는 금전적 동기의 범죄자를 식별합니다.
• 'Storm-0558'과 같은 임시 레이블은 배후가 완전히 확인되기 전의 활성 위협에 사용됩니다.
• 위협 행위자 이름을 이해하면 IT 제너럴리스트가 놀라운 보안 보고서를 실행 가능한 맥락 정보로 바꾸는 데 도움이 됩니다.

Microsoft의 위협 행위자 명명 체계 해독하기

보안 팀이 매일 사고 보고서를 열면 기술 용어와 무작위 식별 코드가 쏟아지는 경우가 많습니다. 이러한 위협을 더 쉽게 이해하고 전 세계 보안 환경 전반에서 추적할 수 있도록 Microsoft는 공격 그룹을 분류하는 방식을 개편했습니다. 난해한 16진수 문자열에 의존하거나 방어자가 서로 상충하는 업체별 이름을 외우게 하는 대신, Microsoft는 위협 그룹을 날씨와 관련된 계열 이름에 연결했습니다.

이 명명 규칙은 임의로 정해진 것이 아닙니다. 위협 행위자 프로필의 모든 단어에는 의도된 맥락적 의미가 담겨 있어, 분석가가 공격이 어디에서 올 가능성이 높은지, 그리고 공격자가 무엇을 달성하려 하는지 즉시 파악할 수 있게 합니다. 하이브리드 기업을 관리하는 IT 관리자든, 사이버 보안 헤드라인을 이해해야 하는 의사결정자든, 이 분류 체계를 익히면 혼란스러운 정보가 체계적이고 실행 가능한 지식으로 바뀝니다.

계열 이름이 지리적 출처를 알려주는 방식

Microsoft 명명 체계의 기초는 위협 그룹에 부여되는 기본 계열 이름입니다. 이 지리적 태그는 사이버 작전의 추정 출처나 후원 주체를 나타냅니다.

• Typhoon: 중국에 기원을 두거나 중국에서 활동하는 것으로 분류되는 그룹으로, 정부 기관, 싱크탱크, 핵심 기반 시설을 대상으로 장기간 첩보 활동을 벌이는 경우가 많습니다.
• Blizzard: 러시아에서 비롯되었거나 러시아와 연관된 공격자로, 국가 후원 정보 수집과 주목도 높은 지정학적 교란과 관련되는 경우가 많습니다.
• Sandstorm: 이란의 국가 이익과 연계된 위협 행위자로, 주로 지역 경쟁국, 방산 계약업체, 통신 분야를 노립니다.
• Sleet: 북한과 연관된 그룹으로, 암호화폐 탈취, 금융기관 침해, 전략적 정보 수집에 중점을 둡니다.

Typhoon이나 Blizzard 같은 접두어를 사고와 연결하면, 보안 전문가는 누가 내 디지털 문을 두드리고 있는지에 대한 상위 수준의 지리적 맥락을 즉시 얻을 수 있습니다.

운영 초점으로 동기 식별하기

지리적 위치를 넘어, Microsoft의 명명 체계는 이러한 공격자를 움직이는 동기도 명시적으로 분류합니다. 두 번째 수식어나 특정 계열 명칭은 공격자의 주된 목표를 드러냅니다:

• Tempest: 랜섬웨어 운영자나 정교한 피싱 그룹처럼 금전적 동기로 움직이는 사이버 범죄 조직에만 사용합니다.
• Flood: 데이터를 훔치기보다 대중의 인식을 바꾸도록 설계된 영향력 공작과 조직적인 허위 정보 캠페인에 특별히 적용합니다.
• Tsunami: 민간 부문의 공격 주체를 추적합니다. 다양한 고객에게 사이버 무기를 개발, 패키징, 판매하는 상업 기업이 여기에 해당합니다.

이러한 구분 덕분에 조직은 국가 배후 세력이 지적 재산을 조용히 빼내려는 것과, 금전적 동기로 움직이는 랜섬웨어 집단이 갈취 대금을 노리고 워크스테이션을 잠그려는 것을 구별할 수 있습니다.

초기 조사에서 'Storm' 레이블의 목적

위협 인텔리전스를 살펴보는 팀이 가장 많이 혼란스러워하는 지점 중 하나가 Storm-0558과 같은 명칭을 마주하는 순간입니다. Microsoft가 조직적이고 활발하게 움직이는 악성 활동을 감지했지만 그룹의 확정된 정체, 국가 배후 여부, 장기적 후원 관계를 아직 확인하지 못한 경우, 임시 자리표시자 레이블을 부여합니다.

Storm에 네 자리 숫자가 뒤따르는 것은 해당 활동이 분명히 실재하며 위험하지만, 귀속 판단은 아직 활발히 조사 중이라는 뜻입니다. Microsoft의 보안 연구원이 코드 중복, 공유 인프라, 특정 전술·기법·절차(TTP) 등 확정적인 증거를 충분히 모으면, 해당 그룹은 임시 Storm 레이블에서 정식이고 영구적인 기상 계열 명칭으로 전환됩니다.

업계 별칭으로 격차 메우기

서로 다른 사이버 보안 벤더들은 역사적으로 동일한 위협 그룹에 전혀 다른 이름을 붙여 왔고, 이는 기업 간 사고 대응 과정에서 큰 혼란을 낳았습니다. Microsoft는 내부 명명 체계를 기존 업계의 대응 명칭과 적극적으로 매핑합니다. 예를 들어 Microsoft 내부에서 Forest Blizzard로 불리는 러시아 그룹은 업계 전반에서 Fancy Bear 또는 APT28로 널리 추적됩니다.

이처럼 명칭을 투명하게 상호 참조하면, 분석가가 Microsoft의 위협 브리핑을 읽든, 경쟁 클라우드 제공업체의 보고서를 읽든, 오픈 소스 인텔리전스 피드를 보든, 세 보고서가 모두 동일한 공격자를 설명하고 있음을 즉시 알아볼 수 있습니다. 주요 보안 사고 중 추측에 의존하는 일을 없애고 여러 벤더가 협업하는 과정을 효율화합니다.

결론

현대의 사이버 보안 위협을 제대로 이해하려면 경고등과 오류 로그에 대응하는 것만으로는 부족하며, 그 뒤에서 활동하는 사람인 공격자를 이해해야 합니다. Typhoon, Blizzard, Storm과 같은 구조화된 명명 규칙을 활용함으로써 Microsoft는 조직이 경고의 맥락을 파악하고, 고립된 기술 지표를 더 넓은 범죄 및 국가 배후 캠페인과 연결하도록 돕습니다.

패시브 DNS, 침해 지표(IoC), 그리고 이러한 인사이트를 기업 내부에서 활용하는 방법을 더 깊이 알고 싶다면, 전체 에피소드 듣기에서 M365 FM 팟캐스트를 확인하십시오. 현대 위협 인텔리전스 전략을 전문 용어 부담 없이 완전하게 정리해 드립니다.

자주 묻는 질문

Microsoft 위협 인텔리전스에서 'Blizzard'는 무엇을 의미합니까?

Blizzard는 러시아에서 비롯되었거나 러시아와 연계된 위협 행위자와 사이버 작전을 지정하기 위해 Microsoft가 사용하는 계열 명칭입니다. 주로 간첩 활동과 지정학적 정보 수집에 초점을 맞춥니다.

Microsoft는 왜 그룹 이름 대신 'Storm' 레이블을 사용합니까?

Storm 레이블은 새로 발견된 활성 위협 클러스터에 부여하는 임시 명칭입니다. 그룹의 실제 정체나 국가 배후 후원 여부를 보안 연구원이 아직 조사하고 있을 때 사용합니다.

Tempest 그룹은 Typhoon 그룹과 어떻게 다릅니까?

Tempest 그룹은 갈취, 랜섬웨어, 수익을 목표로 하는 금전적 동기의 범죄자입니다. 반면 Typhoon 그룹은 중국에서 주로 활동하는 국가 후원 또는 국가와 연계된 조직으로, 주로 간첩 활동에 초점을 맞춥니다.

다른 보안 벤더도 Microsoft의 위협 행위자 명칭을 사용합니까?

다른 보안 업체들은 보통 자체 명명 규칙(APT 번호나 동물 이름 등)을 사용하지만, Microsoft는 날씨 기반 이름을 APT28이나 Fancy Bear 같은 업계 표준 명칭과 적극적으로 매핑하여 업체 간 명확성을 확보하고 있습니다.