회사에서 Microsoft 365를 쓰고 이메일, OneDrive, SharePoint, Teams 백업을 IT 업체(MSP)에 맡기고 있다면, 오늘 5분만 내서 한 가지를 확인하세요. ConnectWise Cloud Backup(구 SkyKick)이 회사 환경에 설치돼 있는지입니다. 2026년 10월 13~16일, 이 서비스의 애플리케이션 자격 증명이 외부인에게 사용돼 고객의 Microsoft 365 환경에 침입이 이뤄졌습니다. 사용자 비밀번호도 MFA도 필요 없었습니다.
ConnectWise는 서비스를 중단하고 애플리케이션 ID 7개를 비활성화했으며, 저장된 백업 아카이브는 격리돼 있고 접근 흔적이 없다고 밝혔습니다. 하지만 회사 스스로 연결을 끊어도 각 환경 안에서 이미 바뀐 내용은 되돌아가지 않는다고 경고합니다. 알려진 내용, 누가 주의해야 하는지, 무엇을 확인해야 하는지 정리했습니다.
무슨 일이 있었나
Cloud Backup은 MSP가 Microsoft 365와 Google Workspace의 고객 데이터를 백업하고 복원하는 데 쓰는 서비스입니다. 아무도 로그인하지 않은 상태에서 작동하도록, Microsoft Entra ID(구 Azure AD)에 등록된 애플리케이션으로 연결됩니다. 관리자가 한 번 승인하면 이 애플리케이션은 메일함, 파일, 채팅을 읽고 쓰는 넓은 권한을 갖습니다.
MSP를 대상으로 하는 보안 기업 Huntress에 따르면, 이 애플리케이션의 자격 증명이 공격자 손에 넘어갔습니다. 10월 15일 06:1308:34 UTC(일본 시간 15:1317:34), 애플리케이션이 고객 환경에 로그인했습니다. 접속 위치는 정상 트래픽이 보통 오는 Microsoft 네트워크가 아니라 호스팅 업체 주소였습니다. 몇 초 간격으로 테넌트를 차례로 도는 패턴은 목록을 따라 움직이는 스크립트임을 보여 줍니다. 10월 16일 19:00 UTC 기준으로 Huntress는 162개 테넌트에서 무단 로그인을 확인했습니다.
Huntress는 또 다음과 같이 보고했습니다.
- 모니터링하는 약 50개 테넌트에서 ConnectWise Cloud Management 앱(Exchange Online, Teams, Graph)이 스스로에게 디렉터리 역할(주로 Exchange 관리자)을 부여했습니다.
- 한 테넌트에서는 Teams용 Cloud Management 앱이 스스로 전역 관리자가 된 뒤, 약 5분 만에 다른 애플리케이션 두 개(MSP 관리 도구와 Huntress 자체 앱)에 새 시크릿을 추가했습니다. 2028년까지 유효한 뒷문이 생긴 셈입니다.
- 10월 13~14일에는 같은 주소에서 법률 사무소 4곳의 테넌트를 상대로 비밀번호 스프레이 공격이 있었지만 성공은 확인되지 않았습니다.
Microsoft도 이 서비스와 관련된 악성 활동을 확인했으며, BleepingComputer에 따르면 이를 진행 중인 공급망 공격으로 규정했습니다. 반면 9개 테넌트를 분석한 Todyl은 로그인만 발견했을 뿐 계정 생성이나 지속성 확보는 없었다고 밝혔습니다. 피해 정도가 고객마다 다르다는 뜻입니다.
ConnectWise의 조치
Trust Center의 공식 공지(10월 16일 게시, 10월 18일 01:00 UTC 업데이트)에 따른 조치는 다음과 같습니다.
- 10월 17일 07:00 UTC에 애플리케이션 ID 7개(아래 표)를 비활성화하고 연결에 쓰인 인증서를 폐기했습니다. Cloud Backup 공유 자격 증명은 더 이상 유효하지 않습니다.
- Cloud Backup은 중단 상태입니다. 예약 백업이 실행되지 않으며 지금은 복원도 할 수 없습니다.
- 예방 차원에서 SaaS Security와 Cloud Management도 내렸습니다.
- 기존 백업 아카이브는 암호화·격리·보존돼 있으며, 접근된 증거는 없다고 밝혔습니다.
- 외부 포렌식 업체를 투입했지만 복구 일정은 아직 없습니다.
ConnectWise가 직접 밝힌 중요한 주의 사항이 두 가지 있습니다. 첫째, 이전에 발급된 액세스 토큰은 만료될 때까지 유효할 수 있습니다. 둘째, 다른 ID를 통해 만들어진 자격 증명, 권한, 접근은 고객이 직접 검토하고 제거해야 합니다. ConnectWise는 각 환경 안에서 무슨 일이 있었는지 볼 수 없습니다. 그 확인은 여러분(또는 MSP)의 몫입니다.
자격 증명이 어떻게 유출됐는지, 전체 피해 조직이 몇 곳인지, 대규모 데이터 탈취가 있었는지는 아직 알려지지 않았습니다.
일본 중소기업에 왜 중요한가
일본의 많은 중소기업은 IT를 외부에 맡기고 있어서 업체가 어떤 백업 도구를 설치했는지조차 모르는 경우가 있습니다. 이런 공격이 노리는 약점이 바로 그것입니다. 수백 개 고객에 넓은 권한을 가진 업체 하나가 모든 고객으로 가는 지름길이 됩니다. 로그인하는 주체가 사용자가 아니라 애플리케이션이기 때문에 직원의 MFA로는 막을 수 없고, 백업 서비스가 메일을 대량으로 읽는 것도 평소와 같은 동작으로 보입니다.
"문제는 협력업체에 있었다"는 같은 패턴은 빅에코 사례에서도 볼 수 있었습니다. 당장 나타나는 실무적 영향도 있습니다. Microsoft 365 백업이 SkyKick이었다면 지금은 백업이 없는 상태입니다. 3-2-1 규칙을 다시 점검하고, 서비스가 돌아올 때까지 다른 경로로 임시 사본을 만드는 것을 검토하세요.
ConnectWise가 비활성화한 애플리케이션
Entra에서는 이름이 아니라 애플리케이션 ID로 검색하세요. 오래된 설치는 "SkyKick"으로 표시될 수 있습니다.
| 애플리케이션 | 애플리케이션 ID |
|---|---|
| ConnectWise Cloud Backup | 506e08f9-6e9a-4da4-942b-a099a03644ae |
| ConnectWise Cloud Management | 2399d300-6fca-4e6a-a686-399fefe75b83 |
| Cloud Management - MS Teams | 24205314-2b89-4e07-a2a4-579e898a5640 |
| Cloud Management - Exchange Online | b78f6a77-d4e5-46fb-87e5-d1648bd02519 |
| Cloud Management - MS Graph | 0de14c77-b9b0-4137-9360-34878a929827 |
| Cloud Management - Partner Center | 412dcf96-176d-4b3a-a1b0-4981ad66971e |
| Cloud Management - SharePoint Online | b2b55f5b-7758-4719-8d8f-88ae172e6bdb |
ConnectWise와 Huntress가 공개한 지표는 144.172.64[.]128 주소입니다(링크가 되지 않도록 대괄호로 표기했습니다). ConnectWise는 로그에서 이 주소나 Python, curl 같은 도구가 보이면 조사가 필요하지만, 그것만으로 침해가 증명되지는 않는다고 설명합니다.
지금 확인할 것
- MSP에 문의해 회사 환경에서 ConnectWise Cloud Backup, SkyKick, Cloud Management를 쓰는지 확인합니다(더 이상 쓰지 않는 오래된 연결 포함).
- Microsoft Entra의 엔터프라이즈 애플리케이션에서 표의 ID를 검색합니다. 아직 활성화된 것이 있으면 해당 앱의 로그인을 비활성화합니다(삭제하지 말고 설정을 증거로 보존).
- 감사 로그와 로그인 로그(서비스 주체 로그인 포함)를 지금 내보내기합니다. 무료 요금제의 Entra는 약 7일, P1/P2도 약 30일만 보관합니다.
- 10월 13일부터(가능하면 10월 1일부터)의 로그인을 애플리케이션 ID와 위 주소로 필터링해 검토합니다.
- 7개만이 아니라 모든 애플리케이션의 시크릿과 인증서를 확인합니다. 10월 13일 이후 추가됐고 주인을 알 수 없는 시크릿이 지속성의 주요 신호입니다.
- 권한 있는 역할(전역 관리자, Exchange 관리자, 애플리케이션 관리자)을 누가 갖고 있는지, 아무도 승인하지 않은 새 앱이나 최근 동의가 있는지 확인합니다.
- 의심스러운 전달 규칙과 받은 편지함 규칙, 조건부 액세스 변경을 찾아봅니다.
- ConnectWise가 재연결 지침을 발표할 때까지 애플리케이션을 다시 활성화하지 않습니다.
- 서비스 중단 기간의 대체 백업을 계획합니다.
확인 방법이 확실하지 않다면 중소기업용 Microsoft 365 설정 가이드에서 각 설정의 위치를 확인할 수 있습니다. 이번 기회에 비밀번호와 2단계 인증 정책도 점검해 보세요.
아직 알려지지 않은 것
ConnectWise는 아직 조사 단계에 있으며, 중요한 변화가 없더라도 Trust Center를 업데이트하겠다고 밝혔습니다. 빠진 답은 세 가지입니다. 자격 증명이 어떻게 유출됐는지, 몇 개 조직이 피해를 입었는지, 실제로 어떤 데이터가 복사됐는지입니다. Huntress는 10월 15일 이후 새로운 악성 활동을 보지 못했다고 하면서도, 이전에 심어진 시크릿은 제거될 때까지 계속 작동한다고 경고합니다. 계속 추적하면서 중요한 진전이 있으면 이 글을 업데이트하겠습니다.
출처
- ConnectWise Trust Center: Cloud Backup (formerly SkyKick) Service Interruption — advisory
- ConnectWise: Product and Services Status
- Huntress: ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks
- Todyl: Investigation — unauthorized access through the ConnectWise Cloud Backup Microsoft 365 app
- BleepingComputer: Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
- The Hacker News: ConnectWise suspends Cloud Backup after Microsoft 365 tenant compromise
- Coalition: ConnectWise Investigating Unauthorized Access to Cloud Backup App
- Microsoft Learn: Disable user sign-in for an application in Microsoft Entra ID
- Microsoft Learn: Incident response playbook — compromised and malicious applications
귀사의 비즈니스에도 도입해 보시겠어요?
KGA IT는 중소기업의 AI 어시스턴트, 업무 자동화, 웹사이트 구축을 지원합니다. 상담은 무료이며 24시간 이내에 답변드립니다. 요금제는 월 ¥5,000부터입니다.
- 전화: 080-9732-1062
- 이메일: kga-it@outlook.com
- 문의 페이지: kga-it.com/ko/contact