7월 27일 주간에는 예정된 사용 중지, 취약점 공개, 현재 진행 중인 위협 인텔리전스가 한꺼번에 등장해 모든 Entra ID 관리자가 주목해야 할 내용이 많았습니다. 변경된 내용과 대응 방법은 다음과 같습니다.
1. Entra ID Protection의 레거시 위험 정책, 10월 1일 사용 중지
Microsoft는 Entra ID Protection에서 구성된 레거시 사용자 위험 및 로그인 위험 정책이 2026년 10월 1일에 사용 중지된다고 확인했습니다. 이 날짜 이후에는 이러한 정책이 완전히 작동을 멈추며, 자동 마이그레이션도 유예 기간도 없습니다.
위험성: 10월 1일까지 조건부 액세스에서 동등한 정책을 다시 만들지 않으면, 고위험으로 표시된 손상된 사용자가 추가 검증 없이 정상적으로 계속 인증할 수 있습니다. 이는 보안 제어가 소리 없이 제거되는 것과 같습니다.
일정:
- 2025년 7월 31일 — Entra ID Protection의 위험 정책 페이지가 읽기 전용으로 전환
- 2026년 10월 1일 — 완전 사용 중지, 정책이 더 이상 사용자를 보호하지 않음
마이그레이션 경로:
- 조건부 액세스에서 동등한 사용자 위험 및 로그인 위험 정책 만들기(보고 전용 모드로 시작)
- 예상 동작 검증
- 정책을 켜기로 설정
- ID Protection에서 기존 위험 정책 비활성화
⚠️ 사용자 위험과 로그인 위험은 별도의 조건부 액세스 정책으로 유지하십시오. Entra ID P2 라이선스가 필요합니다.
Microsoft는 조건부 액세스 블레이드의 “템플릿에서 새 정책 만들기"에 미리 만들어진 템플릿을 제공합니다.
2. CVE-2026-34348: Pass-the-Passkey 공격
보안 연구원 Michael Grafnetter(SpecterOps)는 Windows 11과 Microsoft Entra ID에 영향을 미치는 일련의 “Pass-the-Passkey” 공격을 발견했습니다. 이 연구는 Black Hat USA(8월 1~6일, 라스베이거스)에서 발표될 예정입니다.
취약점 체인:
- CVE-2026-34348(CVSS 6.5) — Windows 이벤트 로깅 서비스가 패스키 관련 디지털 키의 전체 사본을 이벤트 로그에 평문으로 기록하고 있었으며, 인증된 권한 없는 사용자라면 누구나 읽을 수 있었음
- Entra ID 클라우드 측 결함 — 이러한 어설션의 재사용을 막지 못함
- 이 둘이 결합되어 피싱 방지 MFA를 우회하면서 권한 있는 클라우드 ID를 가장할 수 있는 재생 체인이 형성됨
Microsoft의 대응: 2026년 7월 14일에 Windows 문제를 패치했으며, 클라우드 측 동작도 조용히 수정했습니다.
조치 사항:
- 2026년 7월 보안 업데이트를 즉시 적용
- 권한 있는 사용자에게는 디바이스 바인딩 패스키를 우선 사용
- 증명(attestation) 적용
- 피싱 방지 MFA를 유일한 방어 계층으로 의존하지 말 것
3. Entra ID를 노리는 진행 중인 피싱 캠페인
디바이스 코드 흐름 악용(Trend Micro)
Trend Micro가 보고한 현재 진행 중인 피싱 캠페인은 Microsoft의 OAuth 2.0 디바이스 권한 부여 흐름을 악용해 MFA를 우회하고 있습니다.
- 공격자는 입력이 제한된 디바이스를 가장해 정상적인 디바이스 코드 요청을 시작
- 피해자는 문서 공유 이메일, QR 코드 또는 “계정 확인” 안내를 통해 유인됨
- 실제 Microsoft 로그인에서 MFA는 충족되지만, 토큰은 공격자의 시스템에 발급됨
- 공격자는 악성 디바이스를 등록하고 장기간 유효한 새로 고침 토큰을 획득
방어: 반드시 필요하지 않은 곳에서는 조건부 액세스로 디바이스 코드 흐름을 차단하십시오. 대부분의 조직은 광범위하게 차단하고 좁은 예외만 허용할 수 있습니다.
‘Pink’ 보이스 피싱 캠페인(Okta Threat Intelligence)
위협 그룹 O-UNC-066(‘Pink’)은 보이스 피싱을 이용해 등록 단계에서 Entra ID 패스키 등록을 탈취하고 있습니다.
- 공격자는 IT 지원 담당자를 사칭해 직원에게 전화를 걸고 유사 도메인(setpasskey[.]com, passkeydeploy[.]com)으로 유도
- 실시간 운영자가 피해자의 진행 상황을 실시간으로 지켜봄
- 피해자가 자격 증명과 MFA를 입력하는 동안 공격자는 자신의 패스키를 피해자의 M365 계정에 등록
- 이후 SharePoint/OneDrive에서 신속하게 데이터를 유출
방어책: 인증자 수명 주기 이벤트에 경고를 설정하고, 네트워크/디바이스별로 인증 방법 등록을 제한하며, 기존 패스키 등록을 감사하고, 알려진 지원 채널을 통해 발신자를 확인하도록 직원을 교육하십시오.
IT 관리자를 위한 조치 항목
| 우선순위 | 조치 | 기한 |
|---|---|---|
| 🔴 긴급 | 2026년 7월 보안 업데이트 적용(CVE-2026-34348 패치) | 즉시 |
| 🔴 긴급 | 레거시 위험 정책을 조건부 액세스로 마이그레이션 | 2026년 10월 1일 |
| 🟡 높음 | 사용하지 않는 곳에서 CA로 디바이스 코드 흐름 차단 | 가능한 한 빨리 |
| 🟡 높음 | 패스키 등록 및 등록 방법 감사 | 매주 |
| 🟢 보통 | 위험 조건에 대한 조건부 액세스 정책이 분리되어 있는지 확인 | 이번 주 |
이 게시물은 Microsoft Learn, Microsoft Tech Community, M365 메시지 센터, SpecterOps 연구, Trend Micro 위협 인텔리전스, Okta 연구를 바탕으로 조사 및 작성되었습니다.