7만5000개 조직 겨눈 피싱망, 마이크로소프트가 차단

이준한 기자 2026.10.17 00:28

YAM Store와 피싱 도구 CoGUI·Iron Man이 2026년 1월 이후 150개국 이상에서 악성 메시지 10억건 이상을 유발했다. 마이크로소프트와 Health-ISAC은 관련 도메인과 계정을 차단했다.

토포AI로 이 기사 더 깊이 읽기

YAM Store와 피싱 도구 CoGUI·Iron Man이 2026년 1월 이후 전 세계 7만5000개 넘는 조직을 겨냥한 악성 메시지 10억건 이상을 유발했다. 마이크로소프트와 Health-ISAC은 관련 도메인과 계정을 차단했다.

세 서비스는 150개국 이상의 소비자와 의료·금융기관, 기업을 겨냥했다. 이 가운데 7억5000만건 이상은 마이크로소프트 고객을 대상으로 했다. 마이크로소프트는 10월 14일 공개한 조사에서 이 같은 집계 결과를 밝혔다.

세 서비스는 범죄 공급망에서 역할을 나눴다. YAM Store는 부정하게 확보한 마이크로소프트와 구글 계정, 클라우드 자원을 판매했고, CoGUI와 Iron Man은 기업·은행·정부기관 등을 사칭하는 피싱 페이지와 메시지 도구를 제공했다. 마이크로소프트와 Resecurity는 Iron Man에서 사칭 템플릿 2300개 이상을 확인했다. 템플릿에 기관 이름이 등장했다는 사실만으로 해당 기관 시스템이 침해됐다는 뜻은 아니다.

조사는 일본 경찰청이 일본 내 사기 피해 관련 정보를 마이크로소프트에 전달하면서 시작됐다. 마이크로소프트는 일본 사이버범죄대책센터(JC3), Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs와 정보를 공유해 서비스 간 연결 구조를 추적했다고 밝혔다.

미국 플로리다 남부 연방지방법원의 명령에 따라 마이크로소프트와 Health-ISAC은 YAM Store와 관련 피싱 서비스의 기반 도메인을 확보해 재지정했다. 마이크로소프트는 YAM Store와 연결된 계정 2만개 이상을 비활성화했고 사칭·사기 도메인 10만개 이상을 차단하고 있다고 밝혔다. Cloudflare도 관련 계정과 Workers 프로젝트를 중단하고 수백 개 도메인과 프로젝트를 차단했다고 공개했다.

마이크로소프트는 세 서비스가 결제 수단으로 테더(USDT)와 이더리움(ETH)을 받았다고 밝혔다. TRM Labs는 조사 정보가 관련 자산을 찾아 동결하는 데 기여했다고 설명했지만, 동결된 자산의 종류별 수량이나 금액은 공개되지 않았다.

이번 조치는 개별 피싱 메시지를 지우는 데 그치지 않고 계정·도메인·피싱 도구를 공급한 기반을 겨냥했다. 피싱 인프라 차단 사례는 이블토큰을 다룬 본지 보도에서도 확인됐다. 마이크로소프트는 일부 도메인 등록기관이 법적 압류에 협조하기 어려운 관할권에 있어 대체 인프라가 마련될 가능성이 있다고 밝혔다.