MFA를 넘어서: MFA만으로는 데이터를 지킬 수 없는 이유

By Mirko Peters · 2026-08-28

다시 찾아주셨습니다, 보안에 관심 있는 여러분! 여러분도 저와 비슷하다면, 다단계 인증(MFA)이 주류가 되었을 때 기술 업계가 안도의 한숨을 내쉬었던 순간을 기억하실 겁니다. 오랫동안 우리는 취약하고 쉽게 추측할 수 있는 비밀번호에 의존해 왔습니다. MFA는 해커를 영원히 막아 줄 디지털 방패, 말하자면 만능 해결책처럼 여겨졌습니다. 우리는 고객, 친구, 동료에게 어디서든 MFA를 켜라고 권합니다. 은행 계정, 소셜 미디어, 업무 포털 등 로그인 화면이 있는 곳이라면 MFA를 적용하고 그것으로 끝이라고 생각하는 것이죠.

Automatically translated with AI from the original post. Read the English original

하지만 오늘 우리가 직시해야 할 냉정한 사실이 있습니다. MFA만으로는 충분하지 않다는 것입니다. 실제로 MFA를 유일한 방어선으로 의존하는 것은 위험한 도박입니다. 사이버 범죄자들은 진화했고, 오늘날 우리 네트워크를 위협하는 정교한 공격은 기존 MFA 확인 요청을 마치 존재하지 않는 것처럼 우회합니다.

이번 글에서는 절대적인 안전이라는 환상을 걷어내고, 현대 다단계 인증 시스템에 내재된 명백한 취약점을 살펴본 뒤, 비밀번호와 표준 토큰이 일상적으로 탈취되는 환경에서 견고한 방어 전략을 구축하려면 실제로 무엇이 필요한지 알아보겠습니다. 기업 환경을 보호하려는 IT 전문가든, 개인 디지털 생활을 지키고 싶은 분이든, 이러한 위험을 이해하는 것은 선택이 아닌 필수입니다. 그럼 시작해 보겠습니다.

핵심 요약

MFA는 완벽한 해결책이 아닙니다. MFA만으로는 데이터 보안을 보장할 수 없습니다.
피싱 공격은 사용자를 속여 자격 증명을 드러내게 함으로써 MFA를 우회할 수 있습니다.
OAuth 동의 공격은 MFA를 완료한 후에도 무단 액세스를 허용할 수 있습니다.
SIM 스와핑은 SMS 기반 MFA 코드를 가로채 보안을 위협할 수 있습니다.
세션 하이재킹은 활성 세션을 악용하여 공격자가 MFA를 우회하도록 허용합니다.
사용자 경험 문제로 MFA 사용을 포기하면 취약성이 높아질 수 있습니다.
비밀번호 관리자를 사용하면 보안을 강화하고 비밀번호를 효과적으로 관리할 수 있습니다.
사용자 ID를 지속적으로 검증하고 액세스를 제한하려면 제로 트러스트 보안 모델을 도입하십시오.

MFA 취약점

피싱 공격

피싱 개요

피싱 공격은 여전히 데이터 보안에 가장 흔한 위협 중 하나입니다. 이 공격은 비밀번호나 인증 코드처럼 민감한 정보를 스스로 드러내도록 사용자를 속입니다. 사이버 범죄자들은 흔히 사회공학 기법을 사용해 이러한 정보를 제공하도록 사용자를 조종합니다. 정상처럼 보이는 이메일을 보내 악성 링크를 클릭하게 하거나 유해한 첨부 파일을 내려받게 하기도 합니다.

피싱 공격은 AiTM(adversary-in-the-middle) 피싱과 토큰 탈취 같은 기법을 사용해 다단계 인증(MFA)을 우회할 수 있습니다. 이러한 방법은 인증 과정의 취약점을 악용하여, MFA 확인 절차를 완료하지 않고도 무단 액세스를 허용합니다. 이런 공격의 빈도는 증가하고 있으며, 최근 몇 년 사이 이러한 기법의 사용이 눈에 띄게 늘었습니다.

실제 사례

공격자가 MFA를 무력화하는 데 사용하는 다음 기법들을 살펴보십시오.

사회공학: 해커는 피싱 이메일이나 전화를 통해 사용자를 속여 인증 코드나 자격 증명을 제공하게 하며, 사람의 약점을 악용합니다.
MFA 피로 공격: 공격자는 MFA 요청을 대량으로 보내 사용자가 피로감에 못 이겨 요청을 승인하도록 유도합니다.
SMS OTP 공격: SIM 스와핑 같은 기법으로 SMS 기반 일회용 비밀번호를 가로채 MFA를 우회합니다.

최근 몇 년 사이 피싱은 더욱 정교한 캠페인으로 진화했습니다. 예를 들어 AiTM 캠페인은 사용자와 정상 서비스 사이에 피싱 인프라를 끼워 넣어 자격 증명과 MFA 토큰을 모두 탈취합니다. 이렇게 하면 공격자는 MFA를 trigger하지 않고도 액세스 권한을 얻을 수 있습니다. 토큰 도용은 인증 토큰을 훔쳐 비밀번호나 MFA 확인 절차 없이 무단 액세스를 얻는 방식입니다.

OAuth 동의 공격

OAuth 동의의 작동 방식

OAuth 동의 공격은 사용자가 악성 애플리케이션에 권한을 부여하도록 조작합니다. 이 공격은 인증 프로세스가 아니라 권한 부여 계층을 노립니다. 사용자가 동의하면 공격자는 MFA와 무관하게 작동하는 액세스 토큰을 받아 계정에 지속적으로 접근할 수 있습니다.

무단 액세스의 위험

OAuth 동의 공격과 관련된 위험은 매우 큽니다. 공격자는 MFA를 완료한 뒤에도 데이터에 접근할 수 있습니다. 즉, 동의가 한 번 주어지면 MFA 같은 전통적인 보안 조치로는 무단 액세스를 막을 수 없습니다. 최근 동향을 보면 악성 엔터프라이즈 애플리케이션이 크게 늘어나 Microsoft 365 클라이언트를 겨냥하고 있습니다.

연도	동향 설명	출처
2024	Microsoft 365의 지속성 확보를 위한 악성 엔터프라이즈 애플리케이션이 크게 늘어난 것이 관찰되었습니다.	Kroll
2024	Microsoft 365 클라이언트를 대상으로 한 애플리케이션 동의 공격이 급증한 것으로 나타났습니다.	Field Effect
2023-2024	OAuth 동의 방식을 활용한 다수의 BEC 사기가 중소기업을 대상으로 보고되었습니다.	Huntress

SIM 스와핑

SIM 스와핑의 작동 방식

SIM 스와핑은 공격자가 이동통신사를 설득해 사용자의 전화번호를 새 SIM 카드로 옮김으로써 전화번호를 장악하는 기법입니다. 이렇게 되면 MFA 코드가 포함된 SMS 메시지까지 가로챌 수 있습니다.

사례 연구

SIM 스와핑 공격은 급격히 늘어났습니다. 미국 연방거래위원회(FTC)는 2021년에서 2022년 사이 SIM 스와핑 공격이 400% 증가했다고 보고했습니다. 2020년 프린스턴 대학교의 연구에 따르면 SIM 스와핑 사기 초기 시도의 80%가 성공했으며, 이는 주로 통신사가 사용하는 취약한 인증 방식 때문이었습니다.

2023년 9월에는 이더리움 공동 창립자 비탈릭 부테린이 SIM 스와핑 공격의 표적이 되어 해커가 그의 Twitter 계정을 탈취했습니다. 또한 2023년 8월에는 Kroll 직원도 SIM 스와핑 공격의 피해를 입어 회사의 민감한 정보에 무단으로 접근당하는 사고가 발생했습니다.

SIM 스와핑 공격의 결과는 심각할 수 있습니다.

공격자는 SMS로 전송되는 MFA 코드를 가로채 계정에 무단으로 접근할 수 있습니다.
민감한 정보에 접근하면 데이터 유출과 지식재산 손실로 이어질 수 있습니다.
FBI는 SIM 스와핑 공격으로 인한 손실이 약 5,000만 달러에 달한다고 보고했습니다.

세션 하이재킹

세션 쿠키 악용

세션 하이재킹은 공격자가 사용자의 웹 애플리케이션 활성 세션을 장악할 때 발생합니다. 공격자는 로그인 후 사용자 기기에 저장되는 작은 데이터 조각인 세션 쿠키를 악용합니다. 이 쿠키 덕분에 사용자는 자격 증명을 다시 입력하지 않고도 로그인 상태를 유지할 수 있습니다. 그러나 공격자가 이 쿠키를 훔치면 사용자를 사칭해 계정에 무단으로 접근할 수 있습니다.

공격자가 세션을 하이재킹할 때 흔히 사용하는 방법은 다음과 같습니다.

사용자 인증 후 세션 토큰(쿠키) 탈취.
Evilginx 같은 도구로 AitM(Adversary-in-the-Middle) 프록시 공격을 수행해 자격 증명과 MFA 코드를 실시간으로 가로챕니다.
정보 탈취 악성코드 사용으로 피해자 기기에서 세션 쿠키를 추출합니다.
악성코드 또는 피싱을 통한 쿠키 탈취.
보안되지 않은 Wi-Fi에서 네트워크 스니핑으로 세션 데이터를 가로챕니다.
크로스 사이트 스크립팅(XSS) 공격으로 쿠키를 훔칩니다.
시퀀스 번호를 예측하는 TCP 세션 하이재킹.

이러한 기법을 사용하면 공격자가 비밀번호와 MFA 프롬프트를 모두 우회할 수 있습니다. 세션 쿠키를 확보하면 공격자는 비밀번호나 MFA 코드 없이도 계정에 액세스할 수 있습니다.

MFA 효과에 미치는 영향

공격자가 세션을 성공적으로 하이재킹하면 MFA의 효과는 크게 떨어집니다. 공격자는 사용자인 것처럼 가장해 작업을 수행할 수 있으며, 이 과정에서 MFA 검증 단계도 모두 우회합니다. 예를 들어 공격자가 세션 쿠키를 탈취하면 비밀번호나 MFA 코드를 입력하지 않고도 계정에 로그인할 수 있습니다.

자신을 보호하려면 신뢰할 수 없는 장치에서 "로그인 상태 유지" 옵션을 사용하지 마십시오. 계정이 손상되었다고 의심되면 즉시 모든 세션에서 강제로 로그아웃하십시오. 이 조치는 세션 하이재킹 위험을 완화하는 데 도움이 될 수 있습니다.

다단계 인증의 한계

Limitations of Multi-Factor Authentication

사용자 경험과 보안

편의성과 안전성의 균형 맞추기

다단계 인증(MFA)을 사용할 때 딜레마에 자주 직면합니다. MFA는 보안을 강화하지만 사용자 경험을 복잡하게 만들기도 합니다. 많은 사용자가 설정과 복구 과정을 어렵게 느낍니다. 이러한 복잡성은 불만으로 이어지고, 결국 MFA 자체를 포기하는 결과로 이어질 수 있습니다. 실제로 사용자들은 나쁜 사용자 경험 때문에 MFA를 자주 포기합니다. 주요 요인은 다음과 같습니다.

복잡성: MFA 설정은 시간이 오래 걸리고 헷갈릴 수 있으며, 특히 기술에 익숙하지 않은 사용자에게는 더 그렇습니다.
불편함: 인증 요청이 반복되면 불만이 쌓여 도입률이 낮아질 수 있습니다.
안내 부족: 설명이 충분하지 않으면 MFA 단계를 완료하는 데 어려움을 겪게 됩니다.
사용자 거부: MFA로 인한 전반적인 부담 때문에 사용자가 이를 거부하거나 포기할 수 있습니다.

이러한 사용성 문제는 사용자 불만과 MFA 시스템 포기로 직접 이어집니다.

사용자 준수 문제

MFA의 효과는 사용자 준수 여부에 크게 좌우됩니다. 불편하거나 복잡하다고 느껴 MFA를 거부하면 본인과 조직이 위험에 노출됩니다. 준수가 제대로 이루어지지 않으면 다음과 같은 문제가 생길 수 있습니다.

MFA를 아예 우회하는 경우
배포에 대한 저항으로 인해 시스템이 비밀번호 기반 공격에 취약해지는 경우
MFA의 활용이 부족하거나 잘못 구성되어 보호 효과가 줄어드는 경우

기술적 한계

안전하지 않은 채널

MFA는 다양한 통신 채널에 의존하지만 모든 채널이 안전한 것은 아닙니다. 예를 들어 인증에 SMS를 사용하면 보안이 크게 약해질 수 있습니다. 공격자가 전화번호를 탈취하면 MFA 코드를 포함한 SMS 메시지를 가로챌 수 있습니다. 또한 비밀번호에만 의존하면 자격 증명이 유출되었을 때 공격자가 추가 장벽 없이 계정에 액세스할 수 있습니다.

표준화 부족

MFA 구현에 표준이 없으면 플랫폼마다 접근 방식이 파편화됩니다. 이러한 일관성 부족은 MFA의 안정성에 부정적인 영향을 미칩니다. 예를 들어 IoT와 전자 서비스(E-Services) 같은 분야는 MFA 프로토콜이 제각각이어서 취약점을 만들 수 있습니다.

한계 설명
관리자와 최종 사용자 모두에게 관리 복잡성이 증가합니다.
사용자가 MFA를 구성하고 사용하기 어려울 수 있습니다.
특정 하드웨어 요구 사항으로 인해 비용과 관리 부담이 크게 늘어날 수 있습니다.
다른 인증 요소에 대한 액세스를 잃으면 사용자가 계정에서 잠길 수 있습니다.
애플리케이션에 추가적인 복잡성이 도입됩니다.
외부 종속성으로 인해 보안 취약점이나 단일 장애 지점이 생길 수 있습니다.
MFA의 우회 또는 재설정 절차가 공격자에게 악용될 수 있습니다.
MFA를 요구하면 일부 사용자가 애플리케이션에 액세스하지 못할 수 있습니다.

이러한 한계는 조직이 MFA를 도입할 때 직면하는 어려움을 잘 보여줍니다. 이러한 문제를 이해하는 것은 보안 태세를 개선하는 데 필수적입니다.

MFA의 대안

오늘날 디지털 환경에서 다단계 인증(MFA)에만 의존하면 취약해질 수 있습니다. 따라서 보호 수준을 높이는 다른 보안 조치를 함께 고려하십시오. 다음은 효과적인 방법들입니다.

암호 관리자

암호 관리자를 사용할 때의 이점

암호 관리자는 온라인 보안을 간편하게 해 줍니다. 암호를 저장하고 암호화하므로 계정마다 고유하고 복잡한 암호를 쉽게 사용할 수 있습니다. 이를 통해 자격 증명 도난과 암호 재사용의 위험이 줄어듭니다.

보안 강화 방식

암호 관리자를 사용하면 강력한 암호를 자동으로 생성할 수 있습니다. 여러 암호를 기억할 필요가 없어 암기보다 보안에 집중할 수 있습니다. 또한 많은 암호 관리자가 암호 공유와 유출 경고 같은 기능을 제공하여 ID 보안을 한층 강화합니다.

생체 인증

생체 인증 방식의 유형

생체 인증은 고유한 신체적 특성을 이용해 신원을 확인합니다. 대표적인 방식은 다음과 같습니다:

지문 스캔
손바닥 스캔
망막 및 홍채 스캔
음성 인식
호흡 감지
DNA 대조
정맥 스캔
보행 인식

이러한 방식은 공용 장비가 많은 의료 및 제조 분야에서 특히 널리 採用되고 있습니다.

생체 보안의 장단점

생체 인증은 여러 장점을 제공합니다:

강력한 보안과 신원 도용 위험 감소
편의성: 암호를 기억할 필요가 없습니다.
사용자 경험 개선: 장치나 서비스에 빠르게 접근할 수 있습니다.

그러나 단점도 있습니다:

생체 인증의 장점	생체 인증의 단점
양도 불가능한 특성	비용
위조가 거의 불가능함	데이터 유출
유연성과 확장성	데이터 개인정보 보호
강력한 보안과 신원 도용 위험 감소	오탐(False Positive)과 미탐(False Negative)

생체 인증은 보안을 강화하지만, 데이터 개인정보 보호와 잠재적 유출에 대한 우려도 함께 낳습니다.

제로 트러스트 보안 모델

제로 트러스트의 원칙

제로 트러스트 보안 모델은 "절대 신뢰하지 말고 항상 검증하라"는 원칙에 따라 작동합니다. 이 접근 방식은 모든 액세스 요청에 대해 엄격한 인증과 권한 부여를 요구합니다. 핵심 원칙은 다음과 같습니다:

어떤 네트워크 액세스도 암묵적으로 신뢰하지 않습니다.
암호화와 같은 여러 보호 조치를 적용합니다.
데이터 액세스를 꼭 필요한 경우로만 엄격히 제한합니다.

조직에서 제로 트러스트 구현하기

조직은 사용자 ID를 지속적으로 검증하고 승인된 사용자와 리소스에만 액세스를 허용하여 제로 트러스트를 구현할 수 있습니다. 이 모델은 모든 연결에 대해 ID 기반 인증과 권한 부여를 강조합니다. 사용자 행동과 장치 상태를 모니터링함으로써 조직은 액세스를 동적으로 승인할 수 있으며, MFA를 유일한 보안 수단으로 의존하는 부담을 줄일 수 있습니다.

MFA에는 반드시 인지해야 할 심각한 취약점과 한계가 있습니다. 공격자는 가짜 로그인 페이지를 이용해 자격 증명을 탈취할 수 있으며, 이는 MFA의 효과를 떨어뜨립니다. 또한 조직의 61%가 MFA가 적용되지 않은 루트 사용자를 두고 있어, 이 방식에만 의존할 때의 위험이 드러납니다.

데이터를 보호하려면 여러 계층의 보안을 포함하는 사전 예방적 접근 방식을 채택하십시오. 다음과 같은 방안을 도입하는 것을 고려해 보십시오.

데이터 노출을 제한하는 역할 기반 액세스 제어
강력한 인증을 위해 HIPAA 및 GDPR과 같은 규정을 준수
의심스러운 동작을 탐지하기 위한 로그인 활동의 지속적인 모니터링

보안 조치를 다양화하면 민감한 정보를 더 효과적으로 보호할 수 있습니다.

자주 묻는 질문

MFA란 무엇입니까?

MFA(다단계 인증)는 두 가지 이상의 확인 방법을 요구하여 추가 보안을 제공합니다. 이러한 방법에는 알고 있는 것(예: 비밀번호), 가지고 있는 것(예: 휴대폰), 또는 본인의 고유한 특성(예: 지문)이 포함될 수 있습니다.

피싱은 어떻게 MFA를 우회합니까?

피싱 공격은 사용자를 속여 자격 증명이나 MFA 코드를 노출하도록 유도합니다. 공격자는 AiTM(중간자) 피싱과 같은 기법을 사용하여 비밀번호와 MFA 토큰을 모두 탈취할 수 있으며, 이를 통해 MFA 없이도 계정에 접근할 수 있습니다.

OAuth 동의 공격이란 무엇입니까?

OAuth 동의 공격은 공격자가 사용자를 조작하여 악성 애플리케이션에 권한을 부여하도록 만들 때 발생합니다. 사용자가 동의하면 공격자는 액세스 토큰을 확보하게 되고, 이를 통해 MFA 없이도 사용자의 데이터에 접근할 수 있습니다.

SIM 스와핑이 위험한 이유는 무엇입니까?

SIM 스와핑을 통해 공격자는 사용자의 전화번호를 장악할 수 있습니다. 공격자는 MFA 코드를 포함한 SMS 메시지를 가로챌 수 있으며, 이를 통해 MFA를 우회하고 사용자가 모르는 사이에 계정에 접근할 수 있습니다.

세션 하이재킹은 어떻게 작동합니까?

세션 하이재킹은 사용자가 로그인한 후 공격자가 세션 쿠키를 탈취할 때 발생합니다. 공격자는 비밀번호나 MFA 코드 없이도 사용자를 사칭하여 계정에 접근할 수 있으며, 이는 MFA의 효과를 무력화합니다.

MFA의 대안에는 무엇이 있습니까?

MFA의 대안에는 암호 관리자 사용, 생체 인증, 제로 트러스트 보안 모델 도입 등이 있습니다. 이러한 방법은 보안 태세를 강화하고 MFA에만 의존하는 상황을 줄이는 데 도움이 됩니다.

보안을 위해 비밀번호에만 의존해도 됩니까?

아닙니다. 비밀번호에만 의존하는 것은 위험합니다. 비밀번호는 도난당하거나 추측될 수 있습니다. MFA나 암호 관리자와 같은 추가 보안 조치를 구현하면 무단 액세스에 대한 보호 수준을 크게 높일 수 있습니다.

보안 태세를 개선하려면 어떻게 해야 합니까?

보안을 강화하려면 강력하고 고유한 비밀번호를 사용하고, 가능한 경우 MFA를 활성화하며, 계정에서 의심스러운 활동이 없는지 정기적으로 모니터링하는 것을 고려해 보십시오. 데이터를 보호하려면 다계층 보안 접근 방식을 채택하는 것이 필수적입니다.

결론

이 글 전반에서 살펴본 것처럼, 다단계 인증을 완벽한 해결책으로 여기는 것은 위험한 실수입니다. 정교한 AiTM 피싱 캠페인, 가차 없는 SIM 스와핑, 세션 하이재킹, 그리고 교묘한 OAuth 동의 악용으로 인해 공격자들은 표준 다단계 인증의 방어를 뚫을 수많은 방법을 찾아냈습니다. MFA는 여전히 보안 도구 상자에서 중요한 도구이지만, 더 큰 퍼즐의 한 계층일 뿐입니다. 디지털 자산을 진정으로 보호하려면 심층 방어(defense-in-depth) 사고방식을 받아들이고, 강력한 인증 방법을 견고한 암호 관리자와 결합하며, 제로 트러스트 아키텍처로 전환해야 합니다.

최신 ID 공격이 어떻게 일어나는지, 특히 공격자가 애플리케이션 권한을 악용해 장기간 액세스를 유지하는 방식을 더 깊이 알고 싶다면 함께 제공되는 팟캐스트 에피소드를 꼭 확인해 보시기 바랍니다. 전체 내용을 들으려면 Stop OAuth Consent Attacks in Microsoft Entra ID로 이동하십시오. 안전하게 지내시고, 늘 가정을 의심하는 자세를 유지하시기 바라며, 다음 에피소드에서 다시 만나겠습니다!