클릭 한 번으로 이메일·파일·MFA 코드까지 — Microsoft 365 Copilot 보안 취약점 발견

▲ 이미지 출처: The Hacker News

마이크로소프트 365 Copilot Enterprise에서 단 한 번의 클릭으로 이메일, 캘린더, 파일, MFA 코드까지 탈취할 수 있는 취약점 체인이 발견됐다. 보안업체 바로니스(Varonis) 연구팀이 공개한 이번 취약점은 마이크로소프트가 패치를 완료했지만, AI 기반 업무 도구가 새로운 공격 경로가 될 수 있음을 보여주는 사례로 주목받고 있다.

‘SearchLeak’ — 세 가지 버그를 연쇄 활용한 공격

바로니스 연구팀이 ‘SearchLeak’이라 명명한 이 취약점은 세 가지 버그를 연쇄 활용해 M365 Copilot Enterprise Search를 무기화한다. 공격자가 준비한 링크를 클릭하는 순간, 피해자의 이메일 본문·캘린더 항목·인덱싱된 파일 전체가 외부로 유출될 수 있다. 여기에 MFA 인증 코드까지 포함된다는 점이 특히 심각하다.

기존 보안 솔루션으로 탐지가 어려운 이유

이 취약점이 위험한 핵심 이유는 공격 링크가 실제 microsoft.com 도메인을 사용한다는 점이다. 이메일 보안 게이트웨이, URL 필터링, 피싱 방어 솔루션 모두 정상 링크로 판단해 통과시킨다. 직원 보안 교육만으로는 방어할 수 없는 구조다.

신뢰할 수 있는 도메인이라고 해서 안전한 것은 아니다. AI 도구가 데이터 접근 권한을 갖는 순간, 그 도구의 취약점은 곧 데이터 유출 경로가 된다.

M365 Copilot 도입 기업이 지금 확인해야 할 것

• 패치 적용 여부 확인 — 마이크로소프트가 수정 완료. Microsoft 365 관리 센터에서 업데이트 상태 확인 필수
• Copilot 접근 권한 최소화 — Enterprise Search 권한은 실제 필요한 사용자에게만 부여
• 이상 접근 모니터링 — Microsoft 365 Defender에서 비정상적인 검색 쿼리와 대량 데이터 접근 이벤트 점검
• MFA 코드 유효 시간 단축 — 가능하다면 TOTP 유효 기간을 짧게 설정해 탈취 후 악용 시간을 줄임

AI 업무 도구는 조직의 데이터에 광범위하게 접근할 수 있는 만큼, 도입 전 권한 범위를 명확히 정의하고 정기적인 보안 감사를 병행해야 한다.

---