대상: Microsoft 365 관리자, ConnectWise Cloud Backup, Cloud Management, SaaS Security(구 SkyKick)를 사용한 MSP, 그리고 IT 공급업체가 이를 사용한 기업. 이 글은 ConnectWise의 공지와 Microsoft의 연구 게시물을 근거로 작성되었으며, 공격 수법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 30일 기준아직 알려지지 않음
- 애플리케이션 자격 증명이 처음 입수된 방법
- 실제로 침해된 테넌트 수
- 고객 데이터가 접근되거나 복사되었는지 여부
- Cloud Backup 복구가 완료되는 시점
ConnectWise의 공지는 2026년 10월 29일(UTC 20:45)에 마지막으로 업데이트되었습니다. 10월 28일부터 새 애플리케이션 "ConnectWise Cloud Backup for M365"를 통해 Microsoft 365 백업의 단계적 복구가 시작되었으며, ConnectWise가 지시하지 않는 한 파트너는 이전에 비활성화된 애플리케이션을 다시 활성화해서는 안 된다고 밝혔습니다.
Microsoft 365 관리자가 오늘 확인할 것
자사 테넌트와 관리하는 모든 고객 테넌트에서 애플리케이션을 ID로 찾으세요
Entra ID에서 엔터프라이즈 애플리케이션과 앱 등록을 열고 이름이 아닌 애플리케이션 ID로 검색하세요. ConnectWise의 공지에는 비활성화된 애플리케이션 ID 7개(Cloud Backup, Cloud Management, Cloud Management 연동 5개)가 나와 있으며, 오래된 설치본은 SkyKick 이름으로 나타날 수 있다고 안내합니다. ConnectWise가 공개한 Cloud Backup 애플리케이션 ID는 506e08f9-6e9a-4da4-942b-a099a03644ae입니다. 전체 목록은 공지 원문에서 가져오세요.
과거 설치본도 포함하세요. 몇 년 전에 사용을 중단한 앱이 테넌트에 남아 있을 수 있습니다.
삭제하지 말고 비활성화하며, 증거를 보존하세요
ConnectWise와 Microsoft 모두 ConnectWise가 복구 지침을 내리기 전까지 영향을 받은 연결을 비활성화 상태로 유지하라고 밝혔으며, Microsoft는 첫 조치로 엔터프라이즈 애플리케이션을 삭제하지 말라고 권고합니다. 삭제하면 동의와, 앱이 무엇을 했는지 보는 데 필요한 감사 기록이 사라집니다. 무엇이든 변경하기 전에 Entra 로그인 로그와 감사 로그, Purview 감사 기록, SIEM 데이터를 저장하세요.
서비스 주체 로그인을 검토하세요
이 애플리케이션들의 로그인을 성공과 실패를 구분해 최소 10월 15일부터, 가능하면 10월 1일까지 거슬러 올라가 확인하세요. 검토를 ConnectWise가 공개한 IP 주소로 한정하지 마세요. Microsoft도 그렇게 하지 말라고 밝혔고, ConnectWise의 자체 안내서도 검색을 공개된 IP로 제한하지 말라고 합니다. ConnectWise 애플리케이션의 정상적인 트래픽은 Azure 대역에서 오므로, 그 밖의 곳에서 성공한 로그인은 더 자세히 살펴볼 만합니다.
테넌트 안에서 무엇이 바뀌었는지 확인하세요
앱을 비활성화해도 이미 이루어진 변경은 되돌려지지 않습니다. 위 기간에 대해 다음을 검토하세요.
- 직접 추가하지 않은, 모든 애플리케이션(특히 관리 및 보안 도구)의 새 클라이언트 비밀 또는 인증서
- 새 서비스 주체, 새 소유자, 앱 역할과 동의 부여
- 디렉터리 역할 할당, 특히 권한 있는 역할이 부여된 앱
- 그룹, 조건부 액세스 정책 또는 예외의 변경
Microsoft는 이런 변경이 원래 앱이 비활성화된 후에도 다시 들어오는 통로가 될 수 있다고 지적합니다.
메일과 파일 활동을 확인하세요
Purview 감사 로그에서 새 받은 편지함 규칙, 외부 주소로의 전달, 메시지를 숨기거나 삭제하는 규칙, 새 전체 액세스 또는 다른 사용자로 보내기 권한, 전송 규칙 변경을 찾아보세요. 각 항목을 팀이 승인한 변경과 대조해 확인하세요. 앱이 인증에 성공했다고 해서 데이터가 복사되었다는 것이 되지는 않으며, 이전에 활성화되지 않았던 로깅은 지금 복구할 수 없습니다.
신속히 에스컬레이션하고 공급업체에 문의하세요
예상치 못한 자격 증명, 권한 있는 할당, 의심스러운 성공 활동을 발견하면 사고 대응 업체를 참여시키세요. ConnectWise는 파트너에게 공지에 기재된 보안 파트너 지원 주소로 발견 사항을 보고하되, 비밀번호, 키, 토큰은 포함하지 말라고 요청합니다. MSP가 테넌트를 관리한다면 이 앱 중 어떤 것을 언제 사용했고 무엇을 확인했는지 물어보세요.
무슨 일이 있었나요 (ConnectWise와 Microsoft 기준)
2026년 10월 15일
이 사건을 조사한 한 보안 업체는 공급업체의 애플리케이션 자격 증명을 이용한 무단 로그인이 가장 집중적으로 발생한 것을 확인했습니다(해당 업체의 보고서 기준).10월 16일
ConnectWise가 공지를 처음 게시했습니다. 보안 업체는 UTC 19:00 기준 테넌트 162개에서 무단 로그인이 있었다고 보고했습니다.10월 17일
ConnectWise는 애플리케이션 ID 7개를 비활성화하고, 연결에 사용하던 인증서를 폐기해 Cloud Backup을 중단했습니다. 또한 예방 조치로 SaaS Security와 Cloud Management도 중단했다고 밝혔으며(공지에는 이 조치의 시각이 없습니다), 이에 따라 예약된 백업이 실행되지 않고 있습니다. 보안 업체는 이후 같은 출처에서 로그인 활동이 있었던 테넌트가 1,000개에 가까우며 그중 300개 이상이 성공이었다고 보고했습니다.10월 19일
ConnectWise가 영향을 받은 Cloud Backup 환경의 모든 계정과 자격 증명을 완전히 초기화했습니다.10월 21일
Microsoft가 연구 게시물을 발표했습니다. ConnectWise는 자사 증거와 Microsoft의 위협 인텔리전스를 근거로 중국 국가 연계 그룹이 배후인 것으로 보인다는 내용으로 공지를 업데이트했습니다.10월 28일
파트너가 각 테넌트에서 다시 승인해야 하는 새 애플리케이션을 통해 Microsoft 365 백업의 단계적 복구가 시작되었습니다.10월 29일
공지의 최신 업데이트. 복구는 계속되고 있으며, ConnectWise는 비활성화된 애플리케이션은 달리 안내하지 않는 한 비활성화 상태로 유지해야 한다고 거듭 밝혔습니다.
- 서비스
- Cloud Backup(구 SkyKick), MSP를 통해 판매되는 Microsoft 365 백업 서비스. Cloud Management와 SaaS Security는 이와 연결되어 있어 예방 조치로 중단됨
- 백업 아카이브
- ConnectWise: 기존 아카이브는 암호화되고 격리된 상태로 유지되며 침해 징후 없음
- 고객 테넌트
- ConnectWise: 조사 결과만으로는 파트너나 고객의 Microsoft 365 환경이 영향을 받았는지 확정할 수 없음. Microsoft: 영향을 받은 앱이 있거나 로그인에 성공했다고 해서 반드시 데이터에 접근했다는 뜻은 아님
- 배후 평가
- ConnectWise는 Microsoft 위협 인텔리전스를 인용해 중국 국가 연계 그룹이 배후인 것으로 보인다고 밝힘. Microsoft도 같은 평가
- Microsoft 시스템
- Microsoft는 이번 활동이 자사 시스템, 제품, 서비스의 침해나 취약점에서 비롯되지 않았다고 밝힘
- 기타 ConnectWise 제품
- ConnectWise는 중단된 3개 서비스 외의 제품이 영향을 받았다는 징후는 없다고 밝힘
AI 측면을 쉽게 설명하면
Microsoft는 이 그룹이 협력하는 여러 AI 에이전트로 이루어진 오픈소스 도구 ARTEX를 사용했다고 밝혔습니다. 이 도구는 어떤 AI 모델과도 작동하며, 대상 파악부터 데이터 열람까지 보안 테스트를 사람의 개입을 거의 없이 스스로 수행할 수 있습니다. Microsoft는 10월 공개 보도에서 같은 도구가 한국 금융기관 침해와도 연결되었으며(해당 침해에 대한 이 사이트의 글 참고), 여러 지역의 행위자가 이를 사용한다고 지적합니다.
Microsoft가 설명하는 것은 예전과 같은 약점을 훨씬 빠르게 이용한 것입니다. Microsoft는 공급업체 자격 증명이 악용된 뒤 이 도구가 2,250개 이상의 테넌트에 로그인을 시도하고, 접근에 성공한 곳에서는 디렉터리와 애플리케이션 설정을 훑는 데 사용되었다고 밝혔습니다. 이 시도의 분당 빈도는 제시하지 않았습니다. 별도로 Microsoft는 10월 10일부터 14일까지 8개 조직의 계정 327개를 대상으로 한 비밀번호 추측으로 15만 1천 건이 넘는 로그인 실패가 발생했고, 10월 11일에 분당 2,900건으로 정점을 찍었으며 이 활동에서는 성공한 로그인이 없었다고 설명합니다. 방어하는 쪽에서 실질적으로 달라지는 점은 최초 접촉에서 권한 있는 접근까지의 시간이 짧아졌다는 것이므로, 일주일 뒤에 로그를 검토하는 것보다 새 자격 증명과 역할 변경에 대한 경보가 더 중요해졌습니다. AI 기반 침입의 전반적인 모습은 Hugging Face 침입 기사를 참고하세요.
공급업체 앱 자격 증명 악용
↓→
이 앱이 어떤 이름으로든 내 테넌트에 아직 있는가?
→ 오래된 설치본을 포함해 애플리케이션 ID로 검색
앱에 역할과 새 비밀이 부여됨(Microsoft, 보안 업체)
↓→
직접 추가하지 않은 자격 증명이나 역할을 가진 앱이 있는가?
→ 모든 앱의 자격 증명과 디렉터리 역할 검토
3시간 이내에 접근 도달(Microsoft)
↓→
새 자격 증명을 다음 주가 아니라 오늘 알 수 있는가?
→ 새 비밀과 역할 변경에 경보 설정
확인된 것과 확인되지 않은 것
2026년 10월 30일 기준. ConnectWise와 Microsoft가 추가 정보를 발표하는 대로 상태 열을 업데이트합니다.
| 항목 | 기관의 발표 내용 | 상태 |
|---|---|---|
| Cloud Backup 애플리케이션 자격 증명에 대한 무단 접근 | ConnectWise 공지, 10월 16일 최초 게시 | 확인됨(ConnectWise) |
| 애플리케이션 ID 7개 비활성화, 인증서 폐기 | 10월 17일 | 확인됨(ConnectWise) |
| 영향을 받은 환경의 모든 계정과 자격 증명 초기화 | 10월 19일 | 확인됨(ConnectWise) |
| 백업 아카이브 접근 | 침해 징후 없음 | 발견되지 않음(ConnectWise) |
| 영향을 받은 고객 Microsoft 365 테넌트 | 영향 여부를 확정할 수 없음 | 조사 중 |
| AI 기반 로그인 시도의 표적이 된 테넌트 | 2,250개 이상 | 확인됨(Microsoft), 시도이며 침해가 아님 |
| 무단 로그인이 있었던 테넌트 | 10월 16일 기준 162개, 이후 같은 출처에서 300건이 넘는 성공한 로그인 | 보고됨(보안 업체) |
| 권한 있는 접근 획득 | 많은 조직에서, 수는 제시되지 않음. 일부는 3시간 이내 | 확인됨(Microsoft) |
| 어느 테넌트에서든 데이터가 복사되었는지 | 밝히지 않음. Microsoft는 로그인만으로는 알 수 없다고 주의 | 공개되지 않음 |
| 자격 증명이 처음 입수된 방법 | 밝히지 않음 | 조사 중 |
| 배후 | 국가 연계 그룹 | 평가(ConnectWise, Microsoft) |
| 복구 | 10월 28일부터 단계적으로 진행, 새 애플리케이션, 재승인 필요 | 진행 중 |
수치 읽는 법: 세 가지 수, 세 가지 의미
2,250은 표적이 된 테넌트의 수입니다. 162는 하루 동안 무단 로그인이 확인된 테넌트의 수입니다. "300건 이상"은 더 넓은 범위에서 같은 출처로부터 성공한 로그인의 수입니다. 어느 것도 데이터 탈취 건수가 아니며, 피해자의 총수도 아닙니다.
백업 앱 하나가 많은 기업에 영향을 줄 수 있는 이유
멀티 테넌트 앱은 모든 고객 테넌트가 승인한 하나의 자격 증명 세트로 작동합니다. 그 자격 증명을 가진 사람은 모든 테넌트에서 한꺼번에 앱으로 로그인을 시도할 수 있습니다. 백업 도구는 넓은 읽기 권한을 가지는 경우가 많은데, 이것이 도구를 유용하게 만드는 동시에 권한을 신중하게 검토해야 하는 이유입니다. 이는 고객 자신의 직원이 아니라 신뢰하는 공급업체의 연결이 침입 경로가 되었던 과거 사건과 같은 구조입니다. 관련 사례는 2026년 데이터 유출 및 사이버 공격을 참고하세요.
관리자와 MSP를 위한 내용: 넓은 접근 권한을 가진 앱 점검
이 섹션은 ConnectWise나 Microsoft의 것이 아닌 이 사이트의 일반적인 권고입니다. 애플리케이션 관리자 권한 제한, 조건부 액세스 예외, 워크로드 ID 보호, MFA 같은 일부 항목은 두 기관이 발표한 내용을 넘어섭니다. 아직 공개되지 않은 자격 증명 입수 경위를 평가하는 것은 아닙니다.
- 디렉터리 또는 메일 권한을 가진 모든 서드파티 앱을 목록으로 만들고, 소유자와 존재 이유를 기록하며, 아무도 설명하지 못하는 앱은 제거하세요
- 앱에 자격 증명을 추가할 수 있으므로 애플리케이션 관리자 역할을 가진 사람을 제한하세요
- 새 클라이언트 비밀이나 인증서, 디렉터리 역할이 부여된 앱에 대해 경보를 설정하세요
- 앱이 위치 기반 차단을 우회하게 하는 조건부 액세스 예외를 검토하세요
- 사람에게는 다단계 인증을 적용하고, 앱 로그인은 MFA를 사용하지 않으므로 앱에는 워크로드 ID 보호를 사용하세요
- 마지막으로 정상이었던 백업 시점을 파악하세요. Cloud Backup이 중단된 동안 보호 공백이 얼마나 되는지 확인하고, 직접 관리하는 두 번째 사본은 백업과 복구 필수 사항을 참고하세요
출처 (공개 기록)
- ConnectWise, "Cloud Backup (formerly SkyKick) Security Advisory, October 2026" (2026년 10월 16일 최초 게시, 10월 29일 마지막 업데이트) — connectwise.com
- Microsoft Threat Intelligence, "AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise" (2026년 10월 21일) — microsoft.com
- 공급업체 자격 증명을 이용한 무단 로그인에 대한 한 보안 업체의 조사 보고서(2026년 10월 27일까지 업데이트) — huntress.com
업데이트 기록
2026-10-30: 10월 29일에 업데이트된 ConnectWise 공지와 Microsoft의 10월 21일 연구 게시물을 바탕으로 한 첫 버전. 두 기관 중 어느 쪽이든 추가 정보를 발표하면 이 글을 업데이트합니다.
다음으로 읽을 글
- 같은 도구, 다른 피해자: 한국 금융기관 7곳 침해
- AI 기반 침입: Hugging Face 침입과 자율 AI 에이전트
- 방어: 다단계 인증 가이드 / 백업과 복구 필수 사항
- 2026년 기타 사건: 2026년 데이터 유출 및 사이버 공격