Wiz가 2026년 10월 22일 공개한 조사에 따르면 2026년 10월 내내 오픈소스 자율 침투 테스트 프레임워크 ARTEX를 쓰는 공격자가 여러 IT·소프트웨어 업체를 노렸고, Okta, Entra, Cognito 같은 신원 제공자와 Microsoft 365 연동을 집중적으로 공격했다. Wiz는 도구와 인프라, 수법이 마이크로소프트가 앞서 보고한 Storm-0940과 크게 겹치며, 같은 공격자가 다른 소프트웨어 분야로 공급망 침해 시도를 넓히고 있다고 밝혔다.
ARTEX는 중국 개발자가 2026년 7월 GitHub에 공개했고 9월에는 바이두 Agent+ 레드팀 대회에서 수상했다. 역할 분담은 분명하다. 운영자가 표적과 목표만 주면 기획 에이전트가 다음 단계를 정하고, 실행 에이전트가 nmap, curl, Impacket 같은 도구를 돌리며, 결과는 자산과 발견을 모은 공유 그래프에 쌓인다. 개발자는 10월 8일 도구를 비공개로 전환했지만 그때 이미 코드는 12,000번 넘게 포크됐고,
먼저 앱을 통째로 읽고, 지도대로 움직인다
Wiz가 재구성한 수법은 재현성이 높다. 자바스크립트 번들, 노출된 소스맵, 런타임 설정, Swagger와 OpenAPI 문서를 내려받아 내부 API 경로를 파악한 뒤, 로그인 흐름을 반복 실행하고 OAuth 콜백과 state 매개변수를 조작하며 서명 없는 JWT로 SSO 입구를 찔러 본다. 마이크로소프트 OAuth 흐름에는 2분 만에 60가지가 넘는 경로 변형을 쏟아부었다. 가입이 열려 있으면 일회용 메일로 가입한 직후 예측 가능한 식별자로 권한 없는 접근과 테넌트 간 데이터 접근을 시험하고, 계정 복구와 비밀번호 재설정 입구도 같은 방식으로 두드렸다. 무방비 모델 엔드포인트를 탈취하는 공격 에이전트와는 표적이 다르다. 그쪽은 연산 자원을 훔치고, 이쪽은 신원 확인을 비틀어 연다.
패스워드 스프레이의 박자가 기계임을 말해 준다
패스워드 스프레이는 더 노골적이다. Entra와 Okta의 수백 명 사용자, 주로 소프트웨어 엔지니어를 노려 한 번에 20분에서 60분씩 몰아치고, 시도 간격의 중앙값은 정확히 1초로 고정됐으며, 십수 차례 시도당한 사용자도 있었다. 단일 세션은 24시간에서 30시간까지 이어졌고, IP가 차단되면 몇 분 만에 새 주소로 갈아탔으며, 로그인 페이지가 제한을 걸면 같은 호스트의 다른 입구로 옮겨 계속 두드렸다. Wiz의 평가는 솔직하다. 개별 기술은 새로울 게 없지만, 그것들이 지치지도 포기하지도 않는 하나의 파이프라인으로 자동 연결됐다는 점이 새롭다.
방어 측에 주는 실무적 의미는, 로그인 실패 다발, 패스워드 스프레이, 비정상적인 대량 접근 거부 같은 기존 탐지 규칙이 여전히 통하고 그 리듬은 사람보다 오히려 규칙적이라는 점이다. 진짜로 벌어지는 격차는 시간이다. 노출이 생긴 뒤 악용되기까지의 여유는 계속 줄고 있어, 공개 문서와 소스맵 제거, 신원 흐름 패치는 잠들지 않는 탐색자의 속도를 따라가야 한다.
