EvilTokens란? 마이크로소프트가 차단한 AI 계정 탈취 플랫폼

무슨 일이 있었나

마이크로소프트는 AI를 활용한 계정 탈취 플랫폼 EvilTokens를 차단했다고 밝혔고, Ars Technica가 2026년 9월 22일 이를 보도했습니다. EvilTokens를 통해 침해된 계정은 1만 2천 개입니다.

Ars Technica는 EvilTokens가 대량 계정 침해를 더 빠르고 쉽게 만드는 단대단 플랫폼을 제공했다고 전했습니다. 공격자가 각 단계를 따로 준비하지 않아도 되도록 묶어 놓은 구조입니다.

왜 중요한가

EvilTokens가 중요한 이유는 공격 역량이 아니라 공격 접근성이 낮아졌다는 점에 있습니다. 1만 2천 개 계정이 하나의 플랫폼을 통해 침해됐다는 것은 개별 공격자의 숙련도와 무관하게 피해 규모가 커질 수 있다는 뜻입니다.

계정 탈취는 그 자체로 끝나지 않습니다. 침해된 사내 계정은 내부 메일 발송, 협력사 사칭, 추가 권한 획득의 출발점이 됩니다.

보험사와 금융권처럼 외부 협력사·설계사 조직과 메일을 자주 주고받는 환경에서는 한 계정의 침해가 조직 밖으로 번지기 쉽습니다.

우리에게 어떤 의미인가

기업이 지금 점검할 항목은 계정 단위입니다. 다중 인증이 전 직원에게 적용돼 있는지, 예외로 남겨 둔 계정이 몇 개인지, 퇴사자와 외부 협력사 계정이 비활성화됐는지 목록으로 확인합니다.

다음은 탐지입니다. 평소와 다른 지역·시간대 로그인, 짧은 시간에 반복된 인증 실패, 메일 자동 전달 규칙이 새로 생겼는지를 로그에서 볼 수 있어야 합니다. 로그를 남기고 있어도 보는 사람이 없으면 탐지되지 않습니다.

마지막은 사람입니다. 계정 탈취의 시작점은 대부분 직원이 실제로 열어 본 메일 한 통이므로, 진일의 PhishSense 피싱 메일 모의훈련처럼 조직의 반응률을 주기적으로 측정하는 절차가 필요합니다.

용어

계정 탈취

계정 탈취는 공격자가 정상 이용자의 로그인 자격이나 인증 세션을 확보해 해당 계정 권한으로 시스템에 접근하는 공격이다.

자주 묻는 질문

Q. EvilTokens는 어떤 도구인가요?

A. EvilTokens는 AI를 활용해 대량 계정 침해를 더 빠르고 쉽게 만들어 주는 단대단 공격 플랫폼입니다. Ars Technica가 2026년 9월 22일 보도한 내용에 따르면 이 플랫폼을 통해 1만 2천 개 계정이 침해됐고, 마이크로소프트가 차단 조치를 했습니다.

Q. 우리 회사 계정이 털렸는지 어떻게 확인하나요?

A. 로그인 기록과 메일 설정 변경 이력을 먼저 확인하는 것이 빠릅니다. 평소와 다른 지역에서의 접속, 반복된 인증 실패, 새로 생성된 메일 자동 전달 규칙은 계정 탈취의 대표적인 흔적입니다.

Q. 다중 인증만 켜면 충분한가요?

A. 충분하지 않습니다. 다중 인증은 기본 방어선이지만 예외 계정, 퇴사자 계정, 외부 협력사 계정이 남아 있으면 우회 경로가 됩니다. 계정 목록 정리와 로그 모니터링을 함께 운영해야 합니다.

출처

• Ars Technica ↗