사기 메일을 차단하는 법: 다단계 인증이 가장 강력한 방어 수단인 이유

By Mirko Peters · 2026-08-12

팟캐스트 블로그에 다시 오신 것을 환영합니다! 정기적으로 청취해 주시는 분이라면 저희가 아이덴티티 및 액세스 관리에 대해 자주 이야기한다는 것을 아실 겁니다. 최근에는 꼭 필요한…

Automatically translated with AI from the original post. Read the English original

팟캐스트 블로그에 다시 오신 것을 환영합니다! 정기적으로 듣고 계신 분이라면 저희가 ID 및 액세스 관리를 자주 다룬다는 것을 아실 겁니다. 최근에는 꼭 들어야 할 에피소드 Lock Down Microsoft Entra ID Before Phishing Hits를 공개했습니다. 아직 확인하지 않으셨다면, 이 글을 다 읽고 나서 꼭 찾아 들어 보시기 바랍니다. 오늘은 그 대화를 더 깊이 이어 가려고 합니다. 기존의 고정 암호가 왜 더 이상 충분하지 않은지, 다단계 인증이 어떻게 사이버 범죄자의 공격 방식을 뒤집을 수 있는지, 그리고 Microsoft Entra ID 환경을 보호하기 위해 지금 당장 무엇을 해야 하는지 자세히 살펴보겠습니다.

기존 암호만으로는 더 이상 충분하지 않은 이유

먼저 모두가 외면하고 있는 문제부터 짚겠습니다. 전통적인 암호는 이미 죽었습니다. 물론 기술적으로는 여전히 여기저기서 문제를 일으키고 있지만, 보안 체계에서 가장 약한 고리라는 사실은 분명합니다. 수십 년 동안 우리는 디지털 생활을 보호하기 위해 문자, 숫자, 기호를 복잡하게 조합한 암호에 의존해 왔습니다. 사용자에게는 외우기 어려운 조합을 기억하게 하고, 90일마다 바꾸게 하며, 절대 적어 두지 말라고 요구했습니다. 당연하게도 사람들은 반발했습니다. 개인 계정과 업무 계정에서 같은 암호를 재사용하거나, 포스트잇에 적어 두거나, 기본 스크립트로 몇 초 만에 풀 수 있을 만큼 예측 가능한 변형 암호를 만들기 시작했습니다.

피싱과 소셜 엔지니어링이 훨씬 쉬운 상황에서 사이버 범죄자가 무차별 대입으로 암호를 깨기 위해 컴퓨팅 자원을 소모할 이유는 없습니다. 피싱 캠페인은 2000년대 초반의 어설프고 오타투성이인 이메일에서 크게 발전했습니다. 오늘날 공격자는 정교한 수법과 복잡한 경로 설정, adversary-in-the-middle(AiTM) 공격 프레임워크를 활용해 실시간으로 자격 증명을 가로챕니다. 직원이 그럴듯하게 복제된 로그인 페이지에 암호를 입력하는 순간, 공격자는 즉시 핵심 권한을 손에 넣게 됩니다. 암호 하나에만 의존하는 것은 현관문을 끈 한 가닥으로 잠가 두는 것과 같습니다. 선의를 가진 사람은 막을 수 있을지 몰라도, 악의를 가진 사람은 아무런 어려움 없이 통과해 버립니다.

다단계 인증은 계정 침해 시도의 99% 이상을 어떻게 차단하는가

암호가 무력화되었다면 해결책은 무엇일까요? 바로 다단계 인증(MFA)입니다. 사용자가 본인임을 확인하기 위해 서로 다른 두 가지 이상의 증거를 제시하도록 요구함으로써 MFA는 공격자의 계산 방식을 완전히 바꿉니다. 피싱 공격자가 사용자의 암호를 훔치더라도, 시스템이 두 번째 요소를 요구하는 순간 벽에 부딪히게 됩니다.

데이터가 그 사실을 말해 줍니다. 여러 보안 연구에서 견고한 MFA를 구현하면 계정 침해 시도의 99% 이상을 차단할 수 있다는 결과가 꾸준히 나오고 있습니다. 잠시 생각해 보십시오. MFA를 켜는 것만으로도 자동화된 공격과 표적 공격의 대부분을 하룻밤 사이에 없앨 수 있습니다. MFA는 일반적으로 아는 것(암호), 가진 것(휴대폰, 하드웨어 토큰), 그리고 나 자신의 특성(지문이나 얼굴 인식 같은 생체 정보)을 조합해 사용합니다. Microsoft Entra ID 같은 플랫폼에서 올바르게 구성하면, MFA는 보안 태세를 열린 표적에서 견고한 요새로 바꿔 줍니다.

FIDO2 키와 같은 피싱 저항성 방식 살펴보기

모든 MFA가 똑같이 효과적인 것은 아닙니다. 푸시 알림과 SMS 문자 코드는 암호만 사용하는 방식보다 확실히 낫지만, MFA 피로 공격이나 고도화된 AiTM 피싱 기법 같은 영리한 공격에는 여전히 취약합니다. 바로 여기서 피싱 저항성 인증 방식이 필요해집니다.

FIDO2 보안 키나 인증서 기반 인증과 같은 피싱 저항성 MFA 방식은 인증 세션을 접속하려는 웹사이트나 서비스의 특정 출처에 묶어 둡니다. 사용자가 속아서 가짜 피싱 로그인 사이트에 접속하더라도, FIDO2 키는 도메인이 일치하지 않기 때문에 자격 증명을 전달하지 않습니다. 키는 목적지가 가짜임을 인식하고 협조를 거부합니다. YubiKey 같은 하드웨어 키를 도입하거나 Windows Hello for Business 같은 플랫폼 인증자를 활용하면, 사용자가 세상에서 가장 그럴듯한 피싱 캠페인의 표적이 되더라도 공격자는 빈손으로 돌아가게 됩니다.

최신 위협으로부터 Microsoft Entra ID 보호하기

조직을 보호하는 일은 MFA를 켜는 것으로 끝나지 않습니다. Microsoft Entra ID에 기본으로 내장된 고급 보안 기능을 활용하는 포괄적인 전략이 필요합니다. 피싱을 확실히 막으려면 여러 계층으로 이루어진 방어 전략을 구축해야 합니다.

먼저 위험 기반 조건부 액세스 정책을 구성하십시오. 이 정책은 사용자 ID, 디바이스 규정 준수 여부, 위치, 로그인 동작 같은 신호를 실시간으로 평가합니다. 사용자가 낯선 국가나 관리되지 않는 디바이스에서 로그인하면 Entra ID는 MFA를 요구하거나 액세스 시도를 아예 차단하여 보안 수준을 자동으로 높일 수 있습니다. 다음으로 Privileged Identity Management(PIM)를 살펴보십시오. 적시 액세스를 적용하면 관리자는 필요할 때에만, 그리고 엄격하게 제한된 시간 동안만 상승된 권한을 얻게 되어 상시 관리 권한을 없앨 수 있습니다. 여기에 Continuous Access Evaluation을 결합하면 위협이 감지되는 즉시 토큰을 취소할 수 있으며, 이로써 위험에 동적으로 대응하는 환경을 만들 수 있습니다.

결론

위협 환경은 그 어느 때보다 빠르게 바뀌고 있지만, 우리에게는 대응 수단이 있습니다. 취약한 기존 암호에서 벗어나 피싱에 강한 견고한 다단계 인증(MFA)을 도입하면 대부분의 사이버 공격을 효과적으로 차단할 수 있습니다. Microsoft Entra ID를 보호하려면 꾸준한 경계심, 조건부 액세스와 PIM 같은 최신 도구, 그리고 지속적인 개선에 대한 의지가 필요합니다. ID 인프라를 강화하는 실질적인 방법을 더 깊이 알고 싶다면 팟캐스트의 후속 에피소드도 꼭 들어 보십시오: Lock Down Microsoft Entra ID Before Phishing Hits. 계속 안전하게 지내시고, 사용자 교육도 꾸준히 이어가십시오. 다음 에피소드에서 다시 만나겠습니다!