ConnectWise 백업, 26일 복원 재개 목표

커넥트와이즈가 중단된 Cloud Backup의 단계적 파트너 복귀 목표를 10월 26일로 제시했다. 24일 14:00 UTC(한국시간 23:00) 공지에서 복구 시험·보안 검증 통과를 조건으로 달았다.

먼저 기존 백업의 데이터 복원을 열고 전체 서비스 재등록을 이어갈 계획이다. 인프라 가동과 기능 제공은 단계가 달라, 회사는 서비스별 지침 전까지 앱 연결을 비활성 상태로 두도록 했다.

공격에는 에이전트 AI 도구가 쓰였다는 분석이 나왔다. 마이크로소프트는 21일 중국 정부 연계 조직으로 평가한 Storm-0940이 ARTEX로 정찰과 OAuth 앱 악용 등을 가속했다고 밝혔다. 공격자는 탈취한 커넥트와이즈 앱 자격 증명과 고객이 이미 허용한 권한을 이용해 사용자 대화형 로그인 없이 접근했다.

마이크로소프트가 제시한 2,250곳 이상이라는 수치는 로그인을 시도한 Microsoft 365 테넌트, 즉 조직별 운영 환경의 범위다. 일부 환경에서는 인증 뒤 권한·자격 증명 변경도 관측됐다. 회사는 앱 설치나 인증 성공만으로 고객 데이터 접근·유출이 확인되는 것은 아니라고 구분했다.

보안업체 헌트리스의 19일 조사 갱신은 추가 접근 경로가 생긴 사례를 보여 준다. 직접 살핀 두 테넌트에서 앱이 전역 관리자 권한을 얻은 뒤 다른 앱에 새 비밀 자격 증명을 심었다. 원래 백업 앱을 꺼도 이렇게 추가된 자격 증명이 자동으로 없어지지는 않는다.

두 환경의 후속 행위는 15일 03:45 UTC 무렵에 2분 이내 간격으로 일어났다. 자격 증명이 추가된 앱은 서로 달랐다. 양쪽 모두에 있던 앱도 한 환경에서만 선택됐다고 헌트리스는 밝혔다.

다른 조사업체 토딜이 16일 공개한 자사 관측 환경에서는 백업 앱에 의한 추가 자격 증명·권한 변경이 발견되지 않았다. 구독 중인 환경에는 읽기 기록이 있었지만 정상 백업과 공격자가 같은 앱 신원을 써 행위자를 가려내지 못했다. 해당 환경에서 요청별 출발지를 담는 Graph 활동 로그를 수집하지 않은 점도 원인이다. 토딜은 이를 유출이 없었다는 확증으로 해석하지 않았다.

복구 준비와 고객 환경 조사는 각각 진행되고 있다. 커넥트와이즈의 18일 기술 가이드는 회사가 17일 앱 신원 일곱 개를 비활성화하고 관련 자격 증명을 폐기했다고 설명한다. 이 공급자 측 조치는 고객 테넌트 안의 앱 설정을 바꾸지 않는다. 가이드는 앱을 바로 삭제하는 대신 설정과 조사 증거부터 보존하도록 했다.

가이드는 관리업체와 고객 테넌트를 각각 조사하고, 앱의 자격 증명·권한·동의와 로그 보존 기간·미해결 사항을 기록하도록 했다.

커넥트와이즈는 다음 정기 공지를 25일 14:00 UTC(한국시간 23:00)까지 내고, 중요한 변화는 그 전에 알리겠다고 밝혔다.