핵심 POINT
마이크로소프트(Microsoft)는 2026년 10월 14일 가짜 사이트와 사칭 문구를 판매하던 피싱 서비스 3종(YAM Store, CoGUI, Iron Man)을 차단했다고 발표했습니다.
마이크로소프트에 따르면 이 서비스들은 2026년 1월 이후 10억 건이 넘는 악성 메시지를 보내는 데 쓰였습니다. 택배, 통행료, 은행, 세금 사칭 문자는 이렇게 만들어진 가짜 사이트로 이어질 수 있습니다.
문자 속 링크 대신 공식 채널로 직접 확인하고, 회사는 패스키·다중 인증, 관리자 권한 최소화, 만료 도메인 점검으로 대비할 수 있습니다.
택배·통행료 미납 문자, 왜 끝없이 올까? 마이크로소프트가 막은 '피싱 장터'의 정체
마이크로소프트 디지털범죄대응팀(DCU)은 보건 분야 정보공유기구 Health-ISAC와 함께 2026년 10월 14일 피싱 서비스 3종을 무력화하는 조치에 나섰다고 발표했습니다. 조사에는 일본 경찰청이 협력했습니다. 택배를 배송하지 못했다거나 통행료가 밀렸다는 문자처럼 누구나 한 번쯤 받아 본 메시지 뒤에, 가짜 사이트와 계정을 대량으로 공급하는 범죄 시장이 있었다는 설명입니다.
같은 날 마이크로소프트 위협 인텔리전스 팀은 이 생태계를 분석한 보고서도 공개했습니다. 두 자료에 따르면 이 서비스들은 2026년 1월 이후 전 세계 7만 5천 개가 넘는 조직을 겨냥한 악성 이메일과 문자 10억 건 이상에 쓰였습니다. 이번 조사에서 주요 대상으로 언급된 나라는 일본, 미국, 호주, 인도이지만, 택배나 통행료, 금융, 공공기관을 사칭하는 방식은 국내에서 받는 피싱 문자와도 닮아 있습니다.
이번 글에서는 마이크로소프트가 공개한 내용을 바탕으로 피싱 도구가 어떤 구조로 거래되는지 살펴보고, 문자를 받았을 때 개인이 확인할 방법과 회사가 점검할 부분을 정리합니다.
■ 문자 한 통 뒤에는 무엇이 있었을까요?
출처: AI(ChatGPT) 생성 이미지
마이크로소프트 설명에 따르면 조사는 2025년 말 일본 경찰청이 일본 내 악성 메시지 캠페인을 알려 오면서 시작됐습니다. 개별 사건을 추적하던 조사팀은 계정, 호스팅, 가짜 웹사이트 제작 도구를 사고팔 수 있는 중국어권 사이버범죄 시장에 닿았습니다. 일본사이버범죄대응센터(JC3), Cloudflare, Oracle, Proofpoint, TRM Labs 등이 조사에 함께했습니다.
마이크로소프트는 미국 플로리다 남부 연방지방법원의 명령에 따라 이 서비스들의 기반 도메인을 압수해 다른 곳으로 연결했다고 밝혔습니다. 또 YAM Store와 연결된 계정 2만 개 이상을 비활성화했고, 사칭과 사기에 쓰인 도메인 10만 개 이상을 차단했다고 했습니다. 다만 발표에는 체포나 기소 내용은 담기지 않았습니다.
| 구분 | 마이크로소프트가 설명한 내용 |
|---|---|
| 발표 시점 | 2026년 10월 14일 |
| 차단 대상 | YAM Store, CoGUI, Iron Man |
| 악성 메시지 규모 | 2026년 1월 이후 10억 건 이상, 그중 7억 5천만 건 이상이 마이크로소프트 고객 대상 |
| 대상 조직과 지역 | 7만 5천 개 이상 조직, 150개국 이상 |
| 조치 결과 | 계정 2만 개 이상 비활성화, 도메인 10만 개 이상 차단 |
[표] 피싱 서비스 3종 차단 발표 요약 (마이크로소프트 DCU, 2026.10.14)
■ 피싱 도구가 '장터'에서 거래되는 방식
출처: AI(ChatGPT) 생성 이미지
이번에 차단된 세 곳은 역할이 서로 달랐습니다. 마이크로소프트는 이들을 개별 악성코드가 아니라, 범죄에 필요한 재료를 파는 공급 사슬로 설명했습니다.
| 이름 | 하는 일 |
|---|---|
| YAM Store | 탈취했거나 부정하게 만든 마이크로소프트·Google 계정과 저장공간을 온라인 상점처럼 판매합니다. |
| CoGUI | 기업, 금융기관, 정부기관을 사칭한 웹사이트와 메시지를 만들어 주는 피싱 키트입니다. |
| Iron Man | 2026년 6월부터 판매된 신형 키트로, 2,300여 개의 사칭 템플릿을 제공합니다. |
[표] 차단된 서비스 3종의 역할 (마이크로소프트 DCU, 마이크로소프트 위협 인텔리전스 2026.10.14)
❶ 만료된 도메인으로 번듯한 기관을 만들어 냅니다
마이크로소프트는 YAM Store 운영자가 합법 기관이 기한을 넘겨 만료시킨 인터넷 주소를 사들여 웹사이트를 다시 꾸미고, 이를 근거로 마이크로소프트 365 계정을 부정하게 얻은 사례가 있다고 설명했습니다. 비영리단체나 교육기관처럼 보이도록 만든 뒤 계정을 되파는 방식입니다. 피싱 메일이 정상 기관의 계정에서 오면 걸러 내기 어려워질 수 있습니다.
❷ 나라와 업종에 맞는 가짜 사이트를 템플릿으로 찍어 냅니다
Iron Man에는 은행, 유통, 의료, 교통, 경찰, 정부기관 등을 사칭하는 템플릿 2,300여 개가 있었고, 국가와 언어에 맞게 문구를 바꿔 문자, 이메일, 웹페이지를 만들 수 있었습니다. 교통·주차 요금 안내나 택배 배송 안내처럼 우리에게도 익숙한 유형의 문구가 예시로 공개됐습니다. 마이크로소프트는 템플릿에 이름이 나온다고 해서 해당 기관의 시스템이 침해됐다는 뜻은 아니라고 밝혔습니다.
❸ 연구자와 보안 장비의 눈을 피하도록 설계했습니다
마이크로소프트 위협 인텔리전스 팀은 이 키트들이 특정 국가에서 접속할 때만 피싱 화면을 보여 주는 지역 제한, 자동 점검 도구를 막는 가짜 보안문자, 접속 IP 차단 목록 같은 회피 기능을 갖췄다고 분석했습니다. 입력된 정보는 텔레그램으로 실시간 전달돼 운영자가 피해자의 진행 상황을 보며 다음 화면을 바꿀 수도 있었습니다. 로그인 정보나 카드 정보를 입력하는 순간 곧바로 악용될 수 있다는 의미입니다.
■ 이런 문자나 메일을 받았다면 이렇게 확인하세요
출처: AI(ChatGPT) 생성 이미지
마이크로소프트는 이번 서비스를 쓴 피싱 문구가 대부분 급박함을 앞세워 공식 로고가 붙은 링크를 누르게 하는 전형적인 사기 신호를 따랐다고 설명했습니다. 이를 바탕으로 개인이 할 수 있는 확인 방법을 정리했습니다.
❶ 문자 속 링크를 누르지 않고 공식 채널로 확인합니다
마이크로소프트는 사칭이 의심되는 연락을 받으면 해당 업체에 직접 확인하고, 링크가 아닌 알고 있는 공식 경로로 로그인하거나 전화해 보라고 권고했습니다. 택배라면 쇼핑몰 앱이나 택배사 앱에서 운송장 번호를 직접 조회하고, 통행료나 세금은 공식 앱이나 평소 쓰던 주소로 들어가 확인하세요.
❷ 서두르게 만드는 문구일수록 한 번 더 멈춥니다
'오늘 안에 납부하지 않으면' 같은 시간 압박은 피싱 문자의 대표 신호입니다. 주변에서 같은 문자를 받았는지 확인하거나, 문자에 적힌 번호가 아닌 공식 대표번호로 문의하면 피해를 막는 데 도움이 됩니다.
❸ 로그인 창이 무엇에 로그인하는지 확인합니다
마이크로소프트 보고서에는 일부 공격이 기기 코드 인증 방식을 악용했다는 내용도 있습니다. 피해자가 정상 서비스에 로그인한 것처럼 보이게 하면서 공격자가 접속 권한을 얻는 방식입니다. 마이크로소프트는 로그인 창이 어떤 앱에 로그인하려는 것인지 분명히 알려 주는지 확인하라고 안내했습니다. 내가 시작하지 않은 로그인 요청이나 낯선 코드 입력 요구는 진행하지 않는 것이 안전합니다.
■ 회사라면 계정과 도메인부터 점검해야 합니다
마이크로소프트는 이 서비스를 통한 공격이 금융, 의료, IT 기업에서 확인됐지만 어느 조직에나 일어날 수 있는 흔한 공격이며, 특정 서비스에만 국한되지 않는다고 밝혔습니다. 회사 차원에서는 아래 항목을 점검해 볼 만합니다.
• 패스키와 다중 인증(MFA)을 모든 계정에 적용하고, 조건부 액세스로 로그인 상황을 함께 평가하는지 확인합니다.
• 전체 관리자 권한을 가진 계정을 최소한으로 줄이고, 최소 권한 원칙을 적용합니다. 마이크로소프트는 YAM Store 운영자가 관리자 권한을 얻은 사례를 확인했다고 밝혔습니다.
• 패스키와 MFA 등록을 믿을 수 있는 위치와 기기에서만 허용하도록 정책을 보강합니다.
• 메일 보안의 안전 링크 기능이 외부뿐 아니라 내부 수신자에게도 적용되는지 확인하고, 악성 도메인 접속을 막는 네트워크 보호 기능을 켭니다.
• 쓰지 않게 된 도메인과 만료 예정 도메인 목록을 관리해, 기한을 넘긴 주소가 다른 용도로 쓰일 가능성이 없는지 점검합니다.
• 임직원 교육에서 급박한 문구, 링크 대신 공식 채널로 재확인하기, 모르는 로그인 요청 거부하기를 함께 안내합니다.
SK쉴더스는 보안 컨설팅, 모의훈련, 관제 서비스를 통해 기업이 계정 보안 체계와 피싱 대응 체계를 점검하도록 지원하고 있습니다.
■ 자주 묻는 질문
Q. 이번에 차단된 서비스가 곧 다시 살아나는 일은 없나요?
A. 마이크로소프트는 이번 조치가 더 큰 범죄 네트워크의 일부만 다룬 것이라고 밝혔습니다. 차단으로 범죄자가 계정과 도구, 인프라를 구하기 어려워지겠지만, 비슷한 서비스가 다시 나올 수 있으므로 문자와 링크를 확인하는 습관은 계속 필요합니다.
Q. 미납 통행료나 택배 문자에 있는 링크는 절대 누르면 안 되나요?
A. 문자에 적힌 링크는 누르지 않는 것을 권합니다. 실제 미납 여부와 배송 상태는 공식 앱이나 평소 이용하던 공식 주소, 대표번호로 직접 확인할 수 있습니다.
Q. 이번 발표에 이름이 나온 기업이나 기관이 해킹당한 건가요?
A. 아닙니다. 마이크로소프트는 사칭 템플릿에 특정 기업이나 기관이 나온다고 해서 그곳의 시스템이 침해됐다는 뜻은 아니라고 설명했습니다. 이름만 도용된 경우입니다.
Q. 이미 링크를 눌러 정보를 입력했다면 어떻게 하나요?
A. 입력한 계정의 비밀번호를 다른 기기에서 바꾸고, 다중 인증을 켜 두세요. 카드 정보를 입력했다면 카드사에 연락해 사용 정지와 재발급을 요청하고, 금융 피해가 의심되면 경찰(112)에 신고하세요.
Q. 회사 도메인이 만료되면 어떤 위험이 있나요?
A. 마이크로소프트는 기한이 지나 만료된 합법 기관의 도메인을 사들여 웹사이트를 다시 만들고, 그 기관인 것처럼 보이는 계정을 확보한 사례를 설명했습니다. 우리 회사에서 쓰지 않게 된 주소가 비슷한 방식으로 쓰일 가능성이 없는지 도메인 관리 목록을 점검해 두는 것이 좋습니다.
