ConnectWise Cloud Backup, 새 M365 앱으로 단계적 복구 시작

원문 기반 한국어 요약

ConnectWise는 10월 17일 07:00 UTC에 Cloud Backup 및 관련 Cloud Management 애플리케이션 ID 7개를 벤더 측에서 비활성화하고 연결 인증서를 폐기했다. 이미 발급된 토큰은 만료·무효화 전까지 남을 수 있고, 고객 테넌트에 별도로 추가된 자격증명·권한은 이 조치만으로 제거되지 않는다. [1][3]

ConnectWise는 10월 18일 Cloud Backup과 통합된 SaaS Security·Cloud Management 서비스도 예방 차원에서 중단했다고 밝혔다. 예약 백업과 아카이브 접근·복구, SaaS Security 모니터링·경보, Cloud Management 사용자·라이선스 관리가 중단됐다. 백업 아카이브는 암호화·격리돼 있으며 접근됐다는 증거는 없지만, 개별 고객의 실제 Microsoft 365 환경 영향은 별도 조사 대상이다. [1]

Huntress는 ConnectWise Cloud Backup 애플리케이션의 벤더 자격증명이 악용돼 10월 15일 06:13~08:34 UTC에 IP 144.172.64.128에서 고객 테넌트로 로그인하고 Microsoft Graph 토큰을 받은 기록을 확인했다. 10월 16일 19:00 UTC 기준 자체 관측 테넌트 162곳에서 무단 로그인을 확인했다고 밝혔다. 이는 전체 피해 규모가 아니다. [2]

Huntress의 10월 17일 17:15 ET 갱신에서는 동일 IP의 로그인 활동이 약 1,000개 Entra 테넌트에서 관측됐고 300건 넘게 성공했다고 설명했다. 일부 테넌트에는 해당 서비스 주체가 없어 접근이 성립하지 않았으며, 이 수치는 데이터 탈취나 1,000개 테넌트 침해를 뜻하지 않는다. [2]

Huntress는 한 파트너 테넌트에서 ConnectWise Cloud Management - MS Teams 앱이 자신에게 Global Administrator 역할을 부여하고 다른 두 앱에 새 클라이언트 비밀을 추가한 기록도 확인했다. Huntress 앱에 추가된 비밀은 10월 16일 제거됐다. Huntress가 자세히 검토한 그 테넌트의 감사 로그에는 메일·파일 접근이 보이지 않았지만, 읽기 행위가 모두 기록되는 것은 아니어서 유출 부재를 확정할 수 없다고 밝혔다. [2]

ConnectWise는 기존 의심 IP 144.172.64.128에 더해 10월 18일 144.172.64.99와 144.172.64.60을 추가로 공개했다. 10월 18일 기술 가이드는 MSP와 고객 테넌트 각각에서 7개 앱 ID의 로컬 비활성화 상태, 서비스 주체 로그인, 앱 자격증명·동의·역할·메일 규칙을 확인하고 로그를 보존하도록 안내한다. IP 일치나 로그인 성공만으로 데이터 유출을 단정하지 않는다. [1][3]

Microsoft는 10월 21일 중국 국가 연계 행위자 Storm-0940이 ConnectWise 다중 테넌트 애플리케이션 공급망 침해의 배후라고 평가했다. 이 행위자는 ARTEX 에이전트형 침투 테스트 프레임워크를 이용해 탈취된 앱 자격증명으로 2,250개가 넘는 Microsoft 365 테넌트에 로그인을 시도했다. [4]

Microsoft는 여러 고객 환경에서 인증 뒤 Microsoft Graph 정찰, 앱 자격증명 변경, ID·그룹·특권 역할 변경 등 후속 활동을 확인했다. 다만 영향 앱의 존재나 로그인 성공만으로 데이터 접근·유출을 의미하지는 않는다고 명시했다. 개별 테넌트는 서비스 주체 로그인과 Graph 활동을 연계해 조사해야 한다. [4]

ConnectWise는 10월 28일 16:00 UTC에 단계적 복구를 시작했다고 밝혔다. 1단계는 새 보안 강화 애플리케이션 ConnectWise Cloud Backup for M365를 통한 Microsoft 365 백업과 복구이며, 다른 기능은 이후 단계적으로 돌아온다. [1]

파트너는 초기화된 비밀번호를 다시 설정하고 필요한 경우 MFA를 구성한 뒤 각 Microsoft 365 테넌트를 새 애플리케이션으로 재승인해야 한다. 기존에 비활성화한 앱은 별도 지시 없이 다시 켜지 말아야 한다. 재승인만으로 백업 재개가 확인되는 것은 아니므로 새 스냅샷의 성공 완료를 검증해야 하며, 개별 테넌트 침해 조사도 계속 필요하다. [1]

복구는 네 단계다. 1단계에서 백업 스냅샷과 복구 작업, 2단계에서 최종 고객 포털과 모니터링, 3단계에서 Backup Health·내보내기·청구, 4단계에서 알림을 순차 복구한다. 모니터링 이력에는 사고 전 마지막 성공 스냅샷과 복구 후 첫 성공 스냅샷 사이의 공백이 표시될 예정이다. [1]

근거: 아래 출처 [1] · [2] · [3] · [4] · 원문 전체 번역이 아닌 핵심 내용의 번역·요약