마이크로소프트 클라우드 서명키 탈취, 중국 해커 스톰-0558의 미 정부 이메일 해킹 사태

중국에 기반을 둔 것으로 지목된 해킹 조직 스톰-0558은 2023년 5월 15일경부터 마이크로소프트 엑스체인지 온라인과 아웃룩닷컴의 메일함에 접근하기 시작했다. 이들은 마이크로소프트가 소비자 계정용으로 발급한 서명키를 확보한 뒤 이 키로 인증 토큰을 위조했고, 토큰 검증 결함을 이용해 기업·정부용 Azure AD 계정까지 사칭했다. 그 결과 미국과 서유럽 정부기관을 포함해 약 25개 조직의 메일함이 노출된 것으로 이후 파악됐다. 피해 조직 가운데에는 미 국무부와 상무부가 포함된 것으로 보도됐다. 공격은 약 6주간 외부에 드러나지 않은 채 이어졌고, 이는 클라우드 사업자의 서명키 하나가 뚫리면 고객 전체가 위험해질 수 있음을 보여준 사례가 됐다.

2023년 7월 11일(현지시간) 마이크로소프트는 중국 기반 조직이 자사 클라우드 이메일 서비스를 악용해 미국과 유럽 정부기관의 계정에 접근했다고 공개했다. 미국 정부가 먼저 이상 징후를 포착해 마이크로소프트에 알렸고, 회사는 자체 조사 끝에 위조 토큰을 이용한 접근 경로를 확인했다. 마이크로소프트는 공격을 차단했고 해킹 조직의 접근이 더는 없다고 밝혔으며, 탈취된 키를 폐기하고 API 결함도 바로잡았다고 설명했다. 이 공개로 해킹이 최소 수주간 지속됐다는 사실과 함께 국가 안보 인사들의 통신이 노출됐다는 우려가 한꺼번에 커졌다. 미국 사이버보안청(CISA)과 FBI도 별도 성명을 내고 마이크로소프트와 함께 대응 중이라고 밝혔다.

이번 사건은 국무부가 유료 고급 로그 기능인 MailItemsAccessed 덕분에 이상 접근을 탐지했다는 점이 알려지면서 보안 로그 유료화 논란으로 번졌다. 이에 마이크로소프트는 2023년 7월 19일 고급 감사 로그 일부를 표준 라이선스 고객에게도 무료로 제공하겠다고 발표했다. 미 의회에서는 로이 와이든 상원의원 등이 로그를 돈 받고 파는 구조가 보안에 불리하다고 비판하며 조사를 촉구했다. 마이크로소프트는 이후 9월 초 사고 원인 분석을 공개하기도 했다. 보안 기능 접근성이 고객의 방어 능력과 직결된다는 점이 정책 쟁점으로 부상한 계기였다.

2023년 8월 미국 국토안보부는 사이버안전검토위원회(CSRB)가 마이크로소프트 엑스체인지 온라인 사건을 검토한다고 밝혔다. CSRB는 대형 사이버 사고의 원인과 교훈을 민관 전문가가 조사하는 기구로, 이번 조사는 클라우드 사업자의 보안 관행 전반으로 범위가 넓어졌다. 같은 시기 하원의원 돈 베이컨이 FBI로부터 자신의 이메일이 침해됐다는 통보를 받았다고 밝히는 등 피해자가 줄줄이 드러났다. 이후 상무장관 지나 레이몬도와 주중 대사 니컬러스 번스의 메일함도 표적이었던 것으로 알려졌다. 조사 결과는 8개월 가까이 지난 뒤에야 나왔다.

이후 보도를 통해 해킹 조직이 국무부 한 곳에서만 약 6만 건의 이메일을 내려받은 것으로 확인됐다. 해킹 조직은 최소 6주 동안 일부 클라우드 메일함에 접근할 수 있었던 것으로 파악됐다. 마이크로소프트는 같은 시기 사고 원인을 분석해, 2021년 시스템 크래시 덤프에 서명키가 잘못 남았고 그것이 엔지니어 계정 침해로 유출됐을 가능성이 있다고 설명했다. 다만 이 설명에는 이후 CSRB가 확증된 증거가 없다고 지적하게 되는 약점이 있었다. 국가 안보 기관의 대량 이메일이 민간 클라우드를 통해 새어 나갔다는 점에서 파장이 컸다.

2024년 4월 2일 CSRB는 보고서에서 이번 침해가 '막을 수 있었고 일어나지 말았어야 했다'고 결론 내렸다. 위원회는 스톰-0558이 22개 조직과 500명 이상의 개인 메일함에 접근했고, 2016년 만들어져 2021년에 폐기됐어야 할 서명키가 2023년 사고 발견 후에야 폐기됐다고 밝혔다. 마이크로소프트의 보안 문화를 '부실하며 전면 개편이 필요하다'고 평가했고, 키 유출 경위에 대한 회사의 설명이 부정확했다고도 지적했다. 위원회는 클라우드 사업자들에게 신원 인증 시스템과 감사 로그 개선을 권고했다. 마이크로소프트는 이후 보안을 최우선에 두는 '시큐어 퓨처 이니셔티브'를 확대하겠다고 밝혔다.