Chinese hackers spied on thousands of companies after breaching IT giant ConnectWise

🖼️ 인포그래픽

🖼️ 4컷 인포그래픽

💡 한 줄 요약

Microsoft에 따르면 중국 국가 연계 해커들이 ConnectWise에서 탈취한 자격 증명과 AI 에이전트를 이용해 약 2,250개 조직을 침해했으며, ConnectWise는 클라우드 백업 시스템 접근을 중단하고 조사와 복구를 진행 중이다.

📌 핵심 요약

• Microsoft 보안 연구진은 중국 국가 연계 해커들이 ConnectWise의 클라우드 백업 서비스에 침입해 고객사와의 데이터 연결에 쓰이는 애플리케이션 자격 증명을 탈취했다고 밝혔다.
• 탈취된 자격 증명을 이용하면 고객사의 Microsoft 호스팅 환경에 정상 사용자처럼 로그인해 이메일과 기타 파일에 접근할 수 있었다.
• Microsoft에 따르면 해커들은 AI 에이전트를 이용해 분당 약 3,000회의 로그인을 시도하며 약 2,250개 조직을 빠르게 침해했고, 이 속도는 방어 측의 탐지·대응 시간을 크게 제한했다.
• 공격 속도를 높인 도구로 지목된 ARTEX는 AI 모델과 함께 사이버 방어를 시험하는 오픈소스 AI 프레임워크다. 같은 소프트웨어는 최근 한국 금융 시스템 침해에도 사용됐으며, 당시 다수 시스템은 보안이 취약하고 다중 요소 인증이 없었다.
• ConnectWise는 클라우드 백업 시스템 접근을 중단하고 침해를 조사 중이라고 밝혔으며, 목요일 현재 서비스 복구 작업을 진행하고 있다고 설명했다.

🧩 주요 포인트

1. 백업 서비스의 연결 자격 증명 탈취 → 고객사의 Microsoft 호스팅 환경까지 접근할 수 있는 침해 경로 형성.
2. AI 에이전트를 통한 로그인 시도 가속 → 약 2,250개 조직으로 침해가 확산하며 탐지·대응에 주어진 시간 축소.
3. 방어 시험용 ARTEX의 공격 활용과 ConnectWise 접근 중단 → 보안 도구의 공격 전용 사례와 서비스 복구 문제가 함께 부각.

🧠 상세 정리

1. ConnectWise 침해가 고객사 접근으로 이어진 경로

기사는 IT 관리·원격 접근 업체 ConnectWise의 침해 이후 수천 개 기업이 중국 해커들의 감시 대상이 됐다고 전한다. Microsoft 보안 연구진에 따르면 공격자는 중국 국가 연계 해커들이며, ConnectWise의 클라우드 백업 서비스에 침입했다. 이들은 기업 데이터를 백업하는 고객사와 ConnectWise 사이의 데이터 연결에 사용되는 애플리케이션 자격 증명을 탈취했다. 탈취한 자격 증명으로 고객사의 Microsoft 호스팅 환경에 정상 사용자처럼 로그인할 수 있었고, 이메일과 기타 파일에도 접근할 수 있었다.

2. AI 에이전트가 높인 공격 속도와 규모

Microsoft에 따르면 해커들은 AI 에이전트를 활용해 약 2,250개 조직을 빠르게 침해했다. 로그인 시도는 분당 약 3,000회에 달했으며, Microsoft는 이 속도가 방어 측에 탐지하고 대응할 시간을 거의 주지 않는다고 설명했다. 기사는 대규모 침해의 속도를 높인 요인으로 AI 에이전트, 특히 ARTEX의 사용을 지목한다. ARTEX는 AI 모델과 함께 사이버 방어를 강도 높게 시험하는 오픈소스 AI 프레임워크다. 이번 사건에서는 이러한 방어 시험용 소프트웨어가 실제 공격을 가속하는 데 활용된 것으로 설명된다.

3. 한국 금융 시스템 침해 사례와 ConnectWise의 대응

기사는 이번 공격에 쓰인 것과 같은 AI 소프트웨어가 최근 한국 금융 시스템 침해에도 사용됐다고 덧붙인다. 당시 침해와 관련된 한국 금융 시스템 중 다수는 보안이 취약했고 다중 요소 인증도 갖추지 않았다. 이는 같은 소프트웨어의 다른 공격 활용 사례로 제시되며, ConnectWise 고객사에도 동일한 보안 결함이 있었다고 설명하지는 않는다. ConnectWise는 이번 침해에 대응해 클라우드 백업 시스템 접근을 중단했으며 사건을 조사하고 있다고 밝혔다. 회사는 목요일 현재 서비스를 복구하기 위한 작업을 진행 중이라고 설명했다.

🧾 핵심 주장 / 시사점

• ConnectWise와 고객사를 연결하는 자격 증명이 탈취되면서, 백업 서비스의 침해가 고객사의 이메일·파일 접근으로 이어질 수 있었다.
• 분당 약 3,000회의 로그인 시도는 공격 규모뿐 아니라 방어 측에 남는 탐지·대응 시간이 핵심 문제임을 보여준다.
• ARTEX의 사례는 사이버 방어 시험에 쓰이는 오픈소스 AI 프레임워크가 실제 침해를 가속하는 데도 활용될 수 있음을 보여준다.

✅ 액션 아이템

• 탈취된 애플리케이션 자격 증명을 통한 Microsoft 호스팅 환경 접근과 이메일·파일 노출 범위 확인.
• 분당 약 3,000회의 로그인 시도와 AI 에이전트 활용을 고려한 탐지·대응 시간 검토.
• ConnectWise 클라우드 백업 시스템의 접근 중단 및 서비스 복구 진행 상황 확인.

❓ 열린 질문

• 약 2,250개 조직에서 실제로 접근된 이메일과 기타 파일의 범위는 어디까지인가?
• AI 에이전트가 분당 약 3,000회의 로그인을 시도하는 상황에서 탐지·대응 시간을 어떻게 확보할 수 있는가?
• ConnectWise 클라우드 백업 서비스는 언제 복구되며, 탈취된 애플리케이션 자격 증명에 대한 조치는 무엇인가?