새로운 피싱 클릭: OAuth 동의가 MFA를 우회하는 방법
발행: (2026년 5월 19일 PM 08:30 GMT+9)
1 분 소요
원문: The Hacker News
Source: The Hacker News
2026년 2월, EvilTokens라는 피싱‑애즈‑어‑서비스(PhaaS) 플랫폼이 출시되었습니다. 출시 후 5주 만에 5개국에 걸쳐 340개가 넘는 Microsoft 365 조직이 침해되었습니다.
플랫폼의 대상자는 microsoft.com/devicelogin에 짧은 코드를 입력하고 정상적인 MFA 인증 절차를 완료하라는 메시지를 받았으며, 이를 정당한 요청으로 확인했다고 믿고 넘어갔습니다.