원문 소식, 쉽게 읽기
Microsoft는 2026년 10월 14일 Health-ISAC과 함께 YAM Store·CoGUI·Iron Man의 범죄 인프라를 차단하는 조치를 발표했다. 택배 배송 실패나 통행료 미납처럼 익숙한 내용을 내세워 링크 클릭과 개인정보 입력, 결제를 유도하는 사칭 메시지의 배후를 겨냥한 대응이다. 피싱은 신뢰할 만한 기관이나 서비스를 가장해 비밀번호·결제 정보 등을 빼내는 수법을 말한다. 출처
Microsoft의 설명에 따르면 조사는 일본 경찰청이 일본 내 악성 메시지 활동을 알린 2025년 후반에 시작됐다. 일본 사이버범죄 대응센터 JC3와 여러 보안·기술 기업도 조사에 참여했다. Health-ISAC은 의료 분야 조직이 위협 정보를 공유하고 대응을 협력하는 국제 비영리 단체다. Microsoft는 AI 도구의 도움도 받아 계정·웹사이트·인프라 사이의 연결을 찾아냈다고 밝혔다. 이 발표는 기관 간 정보 공유와 조사 협력을 함께 설명한다. 출처
메시지 뒤에서 거래된 것
| 서비스 | Microsoft가 설명한 역할 |
|---|---|
| YAM Store | 부정하게 얻은 Microsoft·Google 계정과 도구 판매 |
| CoGUI | 기업·기관을 사칭하는 웹페이지와 메시지 제공 |
| Iron Man | 브랜드·업종·국가에 맞춘 이메일·문자·웹 템플릿 제공 |
템플릿은 문구나 화면을 반복해서 만들 수 있는 틀이다. 이 조사에서 확인된 것은 사칭에 쓰는 틀이었다. 메시지를 보내는 쪽이 모든 계정과 웹페이지를 처음부터 마련하는 대신, 다른 공급자가 준비한 요소를 조합할 수 있는 구조였다는 설명이다. 출처
Microsoft는 세 서비스가 2026년 1월 이후 150개가 넘는 국가의 7만 5,000개 이상 조직을 겨냥한 악성 메시지 10억 통 이상에 관여했다고 밝혔다. 그중 Microsoft 고객을 겨냥한 메시지는 7억 5,000만 통 이상이었다. 이 수치는 회사가 발표한 조사 범위이며, 메시지의 건수와 표적 조직의 수를 각각 센 값이다. 이를 피해를 본 사람의 수로 읽으면 단위가 달라진다. 출처
조사팀이 Iron Man에서 확인했다는 사칭 템플릿은 2,300개 이상이다. 은행·소매점·의료기관·정부기관 등의 이름이 도용됐다. 원문은 템플릿에 조직 이름이 등장하는 것과 그 조직의 시스템이 실제로 침해된 것을 명확히 구분한다. 따라서 유명 기관의 이름을 담은 위장 화면은 그 이름이 도용됐다는 조사 사례로 읽어야 한다. 출처
Microsoft는 미국 플로리다 남부 연방지방법원의 명령에 따라 관련 도메인을 확보하고 접속 경로를 바꿨다고 밝혔다. 도메인은 웹사이트에 접속할 때 사용하는 이름이다. 회사는 YAM Store와 연결된 계정 2만 개 이상을 비활성화했으며, 사칭·사기에 쓰인 도메인 10만 개 이상을 차단하고 자사 서비스에 있는 인프라를 제거하는 방식으로 대응을 계속하고 있다고 설명했다. 메시지, 계정, 도메인은 서로 다른 단위의 숫자다. 출처
OYOPICK의 시선
이번 소식에서 주목할 부분은 수신자에게 메시지를 조심하라고만 하는 것을 넘어, 사칭을 반복해서 공급하는 구조를 겨냥했다는 점이다. 준비된 계정과 위장 화면을 구하기 어려워지면 범죄 운영에 필요한 요소를 다시 마련해야 한다. 차단이 대체 공급자의 등장보다 오래 유지된다면 반복 사칭의 부담을 줄이는 데 도움이 될 수 있다. 실제 지속 효과는 후속 관찰이 필요한 부분이다.
발표된 큰 숫자는 대응의 규모를 보여 주지만, 독자에게는 무엇을 셌는지가 함께 중요하다. 메시지 수를 피해자 수로, 위장 대상 목록을 실제 침해 목록으로 바꾸면 위험을 잘못 이해하게 된다. Microsoft도 이 세 서비스를 더 큰 범죄 네트워크의 일부로 설명했다. 앞으로 공급망 재구성이 얼마나 빨리 일어나는지와 같은 후속 결과가 공개돼, 단속 규모와 이용자가 체감하는 변화 사이의 연결을 더 잘 판단할 수 있기를 바란다.