ConnectWise Cloud Backup, 백업·포털 복구 완료…보고 기능 복구 중

원문 기반 한국어 요약

ConnectWise는 10월 17일 07:00 UTC에 Cloud Backup 및 관련 Cloud Management 애플리케이션 ID 7개를 벤더 측에서 비활성화하고 연결 인증서를 폐기했다. 이미 발급된 토큰은 만료·무효화 전까지 남을 수 있고, 고객 테넌트에 별도로 추가된 자격증명·권한은 이 조치만으로 제거되지 않는다. [1][3]

ConnectWise는 10월 18일 Cloud Backup과 통합된 SaaS Security·Cloud Management 서비스도 예방 차원에서 중단했다고 밝혔다. 예약 백업과 아카이브 접근·복구, SaaS Security 모니터링·경보, Cloud Management 사용자·라이선스 관리가 중단됐다. 백업 아카이브는 암호화·격리돼 있으며 접근됐다는 증거는 없지만, 개별 고객의 실제 Microsoft 365 환경 영향은 별도 조사 대상이다. [1]

Huntress는 ConnectWise Cloud Backup 애플리케이션의 벤더 자격증명이 악용돼 10월 15일 06:13~08:34 UTC에 IP 144.172.64.128에서 고객 테넌트로 로그인하고 Microsoft Graph 토큰을 받은 기록을 확인했다. 10월 16일 19:00 UTC 기준 자체 관측 테넌트 162곳에서 무단 로그인을 확인했다고 밝혔다. 이는 전체 피해 규모가 아니다. [2]

Huntress의 10월 17일 17:15 ET 갱신에서는 동일 IP의 로그인 활동이 약 1,000개 Entra 테넌트에서 관측됐고 300건 넘게 성공했다고 설명했다. 일부 테넌트에는 해당 서비스 주체가 없어 접근이 성립하지 않았으며, 이 수치는 데이터 탈취나 1,000개 테넌트 침해를 뜻하지 않는다. [2]

Huntress는 한 파트너 테넌트에서 ConnectWise Cloud Management - MS Teams 앱이 자신에게 Global Administrator 역할을 부여하고 다른 두 앱에 새 클라이언트 비밀을 추가한 기록도 확인했다. Huntress 앱에 추가된 비밀은 10월 16일 제거됐다. Huntress가 자세히 검토한 그 테넌트의 감사 로그에는 메일·파일 접근이 보이지 않았지만, 읽기 행위가 모두 기록되는 것은 아니어서 유출 부재를 확정할 수 없다고 밝혔다. [2]

ConnectWise는 기존 의심 IP 144.172.64.128에 더해 10월 18일 144.172.64.99와 144.172.64.60을 추가로 공개했다. 10월 18일 기술 가이드는 MSP와 고객 테넌트 각각에서 7개 앱 ID의 로컬 비활성화 상태, 서비스 주체 로그인, 앱 자격증명·동의·역할·메일 규칙을 확인하고 로그를 보존하도록 안내한다. IP 일치나 로그인 성공만으로 데이터 유출을 단정하지 않는다. [1][3]

Microsoft는 10월 21일 중국 국가 연계 행위자 Storm-0940이 ConnectWise 다중 테넌트 애플리케이션 공급망 침해의 배후라고 평가했다. 이 행위자는 ARTEX 에이전트형 침투 테스트 프레임워크를 이용해 탈취된 앱 자격증명으로 2,250개가 넘는 Microsoft 365 테넌트에 로그인을 시도했다. [4]

Microsoft는 여러 고객 환경에서 인증 뒤 Microsoft Graph 정찰, 앱 자격증명 변경, ID·그룹·특권 역할 변경 등 후속 활동을 확인했다. 다만 영향 앱의 존재나 로그인 성공만으로 데이터 접근·유출을 의미하지는 않는다고 명시했다. 개별 테넌트는 서비스 주체 로그인과 Graph 활동을 연계해 조사해야 한다. [4]

ConnectWise는 10월 30일 21:00 UTC에 복구 1·2단계가 완료됐다고 밝혔다. 재승인된 Microsoft 365 테넌트에서 백업·복구 기능이 제공되고, 최종 고객 셀프서비스 포털과 Backup Monitoring 대시보드도 이용할 수 있다. [1]

3단계인 Backup Health 보고, 내보내기 작업, 청구 기능·보고는 복구 중이다. 4단계 알림은 지원 서비스가 정상화된 뒤 중복·오해 소지가 있는 경보를 줄이기 위해 재개할 예정이다. [1]

파트너는 새 애플리케이션으로 테넌트를 재승인한 뒤 새 백업 스냅샷이 실제로 성공했는지 확인해야 한다. 재승인만으로 백업 재개가 확인되는 것은 아니며, 사고 전 마지막 성공 스냅샷과 복구 후 첫 성공 스냅샷 사이의 공백이 이력에 남는다. 기존에 비활성화한 앱은 ConnectWise의 별도 지시 없이 다시 켜지 말아야 한다. [1]

ConnectWise는 기존 백업 아카이브가 암호화·격리·보존돼 있고 침해 징후가 없다고 밝혔다. 이는 백업 아카이브에 대한 회사의 현재 조사 결과이며, 관리 대상 Microsoft 365 테넌트별 침해 조사와 강화 모니터링은 계속된다. [1]

근거: 아래 출처 [1] · [2] · [3] · [4] · 원문 전체 번역이 아닌 핵심 내용의 번역·요약