SMS 문자 메시지 MFA가 Microsoft 365에서 더 이상 안전하지 않은 이유

By Mirko Peters · 2026-10-26

SMS 문자 메시지 다중 인증이 Microsoft 365 테넌트를 SIM 스와핑과 피싱에 노출시키는 이유와 대신 사용해야 할 방식을 알아봅니다.

Automatically translated with AI from the original post. Read the English original

SMS 문자 메시지 다중 인증은 오랫동안 IT 관리자와 일반 사용자 모두에게 기본적인 두 번째 인증 단계로 사용되어 왔습니다. 그러나 낡은 통신망에 의존하기 때문에 SIM 스와핑이나 표적 피싱 같은 최신 사이버 공격에 위험할 정도로 취약합니다.

핵심 요약

• SMS 기반 다중 인증은 공중 전화망에 의존하므로 가로채기와 SIM 스와핑에 취약합니다.
• Google과 Verizon의 연구에 따르면, 표적 피싱 공격 앞에서 문자 코드는 최신 푸시 알림이나 패스키보다 훨씬 자주 실패합니다.
• Verizon의 침해 사고 보고서는 로그인 확인에 SMS 문자 코드를 사용하지 말 것을 적극적으로 권고합니다.
• SMS에서 벗어나려면 헬프 데스크 과부하와 영구적인 계정 잠김을 막기 위해 이중 인증 방법을 함께 계획해야 합니다.

SMS 코드가 주는 보안의 착각

조직이 다중 인증을 처음 도입할 때 문자 메시지는 흔히 성공처럼 느껴집니다. 거의 모든 기기에서 지원되고, 소프트웨어를 설치할 필요가 없으며, 사실상 모든 모바일 기기에서 작동하기 때문입니다. 하지만 보안 아키텍처 관점에서 보면 SMS는 견고한 ID 확인의 기본 원칙을 위반합니다. 전달 방식 자체에 근본적인 결함이 있기 때문입니다.

SMS 문자 메시지는 표준 통신망을 거쳐 휴대폰에 도달합니다. 이 인프라는 수십 년 전에 보안을 거의 고려하지 않고 설계되었기 때문에 가로채기, 경로 변경, 조작이 가능합니다. 범죄자들은 SIM 스와핑이라는 기법으로 이 취약점을 일상적으로 악용합니다. 공격자는 이동통신사 고객 지원 직원을 사회공학적으로 속여 사용자의 전화번호를 공격자의 스마트폰에 들어 있는 SIM 카드로 옮깁니다. 이전이 완료되면 사용자 계정으로 가는 모든 인증 코드가 그대로 공격자에게 전달됩니다.

문자 메시지 MFA에 대한 연구 결과

보안 데이터는 SMS 인증의 효과에 대해 분명한 그림을 보여줍니다. 문자 코드는 자동화된 저비용 자격 증명 스터핑 공격에는 어느 정도 방어력을 제공하지만, 실제 사람 공격자가 개입하면 효과가 급격히 떨어집니다.

Google의 주요 보안 연구에 따르면 SMS 코드는 대량 피싱 시도의 약 96%를 차단했지만, 표적 공격에 대해서는 효과가 상당히 떨어졌습니다. 공격자가 특정 개인이나 조직에 집중하면 문자 코드로는 안정적인 보호를 제공할 수 없습니다. 이에 따라 주요 사이버 보안 프레임워크와 Verizon 보고서를 포함한 연례 침해 사고 조사는 현재 로그인 확인에서 문자 메시지와 음성 통화를 단계적으로 중단할 것을 적극 권고하고 있습니다.

중간자(AiTM) 공격

모든 입력형 코드의 핵심 한계는 가로채일 수 있다는 점입니다. 중간자 공격(adversary-in-the-middle)에서 악의적인 공격자는 Microsoft 365 로그인 페이지를 픽셀 단위로 똑같이 복제한 정교한 가짜 페이지를 배포합니다. 이 가짜 포털에 비밀번호와 SMS 코드를 입력하면, 프록시가 자격 증명을 즉시 실제 서비스로 전달합니다. 시스템은 접근을 허용하고, 공격자는 활성 세션 토큰을 탈취하여 유효한 코드를 입력했음에도 방어 체계를 완전히 우회합니다.

SMS에서 최신 대안으로 전환하기

문자 메시지에서 벗어나려면 사용 가능한 두 번째 인증 요소의 계층 구조를 이해해야 합니다. Microsoft 365 환경을 실질적으로 보호하려면 조직은 재사용 가능한 비밀 정보와 통신사 의존성을 없애는 방법으로 사용자를 전환해야 합니다.

인증 앱과 번호 일치

인증 앱은 SMS에 비해 큰 진전입니다. 기기에서 주기적으로 바뀌는 시간 기반 일회용 암호를 로컬에서 생성하므로 전화망을 완전히 우회합니다. 또한 Microsoft Authenticator 앱과 같은 엔터프라이즈 솔루션을 사용할 때는 번호 일치 같은 기능이 프롬프트 폭탄 공격을 무력화합니다. 사용자는 로그인 화면을 보고 무작위 번호를 읽어 모바일 앱에 입력해야 하므로, 자신이 직접 시작한 로그인 시도를 의식적으로 승인하게 됩니다.

피싱에 강한 패스키와 보안 키

최신 인증의 표준으로 꼽히는 것은 피싱에 강한 하드웨어 키 또는 플랫폼 패스키입니다. 이 방식은 공개 키 암호화에 기반합니다. 기기는 하드웨어를 벗어나지 않는 개인 암호 키를 보관합니다. 인증할 때 사이트가 암호화 챌린지를 발급하면 기기가 이에 서명합니다. 가짜 피싱 사이트는 이 서명을 위조할 수 없으므로 중간자 공격은 완전히 무력화됩니다. Microsoft's 자체 지표에 따르면 패스키 로그인은 기존 비밀번호와 표준 MFA 프롬프트를 함께 사용하는 방식보다 훨씬 빠르며, 이는 보안 강화가 사용자 경험을 희생할 필요가 없다는 것을 보여줍니다.

조직의 전환 관리하기

SMS 인증을 금지하는 정책은 신중하게 처리하지 않으면 반발을 불러올 수 있습니다. IT 관리자는 롤아웃을 전략적으로 계획해야 합니다. 먼저 전역 관리자, 재무 담당자, 중요 인프라 포털에 접근할 수 있는 사용자 등 고위험 계정을 대상으로 시작합니다. 사용자에게는 최소 두 가지 유효한 확인 방법을 제공하고, 휴대폰을 분실하거나 교체했을 때 정당한 사용자가 계정에서 잠기지 않도록 명확하고 검증된 복구 경로를 마련합니다.

결론 및 다음 단계

어떤 형태의 다중 인증이든 단독 비밀번호에 의존하는 것보다 분명히 낫지만, SMS 문자 코드를 계속 사용하면 최신 클라우드 환경이 예방 가능한 위험에 노출됩니다. 번호 일치를 지원하는 인증 앱이나 완전히 피싱에 강한 패스키로 전환하면 보안 태세가 쉽게 뚫리는 과속 방지턱에서 탄탄한 방어 체계로 바뀝니다.

ID 보호의 원리, 클라우드 보안 구성, 최신 인증 전략을 더 깊이 알고 싶다면 저희 팟캐스트의 관련 토론도 꼭 확인해 보십시오. 전체 에피소드 듣기에서 들어 보시고, Microsoft 365 및 Azure 환경을 보호하는 데 필요한 모든 것을 함께 살펴보겠습니다.

자주 묻는 질문

SMS는 왜 취약한 다중 인증 방식으로 여겨지나요?

SMS 코드는 암호화된 앱 채널이 아니라 통신망을 통해 전달됩니다. 이 때문에 범죄자가 이동통신사를 속여 휴대폰 번호를 자신이 통제하는 기기로 옮기게 하는 SIM 스와핑 공격에 취약합니다.

Microsoft 365에서 관리자가 SMS 인증을 비활성화할 수 있나요?

네, Microsoft 365 관리자는 Entra ID의 인증 방법 정책 제어를 사용해 SMS 및 음성 통화 옵션을 제한하거나 비활성화할 수 있습니다. 이를 통해 사용자가 Microsoft Authenticator 앱이나 FIDO2 키 같은 더 안전한 옵션을 사용하도록 유도할 수 있습니다.

인증 앱의 번호 일치 방식은 어떻게 피싱을 막나요?

번호 일치는 사용자가 로그인 화면에 표시된 특정 번호를 인증 앱에 입력하도록 요구합니다. 이를 통해 프롬프트 피로나 중간자 공격 상황에서 사용자가 무심코 승인 버튼을 누르는 일을 방지합니다.

기업 사용자에게 SMS 문자 코드를 대체할 최선의 방법은 무엇인가요?

FIDO2 보안 키와 최신 패스키는 재사용 가능한 코드 대신 공개 키 암호화에 의존하며 피싱에 완전히 내성이 있으므로 가장 높은 수준의 보안을 제공합니다.