Microsoft 환경에서 MFA가 필요한데도 작동하지 않는 이유

By Mirko Peters · 2026-04-22

다단계 인증(MFA)은 Microsoft 365와 Azure에서 공격자가 암호를 탈취하더라도 막아 주는 안전망이어야 합니다. 그런데 안전망이 있어야 할 때 실제로 없다면 어떻게 될까요?

Automatically translated with AI from the original post. Read the English original

다단계 인증(MFA)은 Microsoft 365와 Azure에서 공격자가 암호를 훔치더라도 침입을 막아 주는 안전망이어야 합니다. 하지만 이 안전망이 있어야 할 순간에 작동하지 않으면 어떻게 될까요? 여기서 "있어야 할 순간"이란 위험한 로그인, 관리자 계정의 로그인, 평소와 다른 위치에서의 접속처럼 중요한 상황을 말합니다. 이런 상황에서 MFA가 실행되지 않는다면 명백히 노출된 상태입니다.

이런 공백은 기술적 문제, 혼란스러운 정책 설정, 그리고 최종 사용자의 우회 방법이 뒤섞이면서 생기는 경우가 많습니다. 레거시 인증 앱, 허술한 조건부 액세스 정책, 불완전한 사용자 적용 범위가 원인이 되기도 합니다. 원인이 무엇이든, 가장 중요한 지점에서 MFA가 빠져 있으면 공격자에게 문을 열어 주는 셈이며 실질적인 보안 문제로 이어집니다.

이러한 인증 적용 공백을 파악하고 바로잡는 일은 데이터를 안전하게 지키는 데 필수적입니다. 공격자가 토큰 탈취와 OAuth 악용으로 이런 허점을 어떻게 파고드는지 실제 사례로 보고 싶다면, Microsoft 365 침해 사고 분석을 참고하십시오. 무엇이 걸려 있는지 정확히 보여 줍니다.

MFA가 실행되지 않는 지점과 그 원인 이해하기

MFA의 효과는 그 뒤에 적용한 정책과 기술만큼만 발휘됩니다. 문제는 설정을 제대로 했다고 확신하더라도, 특히 중요한 사용자나 위험한 로그인 상황에서 MFA가 아무 신호 없이 빠져 버리는 시나리오가 많다는 점입니다.

흔한 원인은 잘못 구성된 조건부 액세스 정책입니다. "편의상" VIP 사용자를 예외로 두거나, 광범위한 권한을 가진 테스트 계정이 MFA 요구 없이 그대로 남아 있는 경우가 있습니다. 설정 단계에서는 이런 예외가 무해해 보일 수 있지만, 실제로는 방어선에 구멍을 낼 수 있습니다. 정책을 정기적으로 검토하지 않으면 어떤 대시보드도 경고하지 않는 보이지 않는 보안 공백을 떠안게 됩니다.

레거시 앱도 은밀한 문제입니다. Exchange ActiveSync나 일부 데스크톱 이메일 클라이언트 같은 도구는 대개 오래된 인증 방식을 사용하므로 기본적으로 최신 MFA를 우회합니다. 이런 비브라우저 앱은 최신 MFA 설정과 호환되지 않는 기본 인증에 의존하므로, 통제할 수 없는 곳에서 로그인이 발생할 수 있습니다.

사용자 행동도 잊으면 안 됩니다. 일부 사용자는 오래된 앱을 연결하려고 "앱 암호"를 만들며, 이는 MFA를 완전히 우회합니다. 또 다른 사용자는 위험한 동의 프롬프트를 통해 타사 앱에 OAuth 권한을 의도치 않게 부여하는데, 이는 MFA 검증을 전혀 받지 않는 뒷문을 공격자에게 열어 주는 것과 같습니다. 사용자가 위험을 인식하지 못한 채 MFA를 우회할 수 있으므로 여기서 거버넌스가 중요합니다.

하이브리드 또는 멀티클라우드 환경을 운영하는 조직에서는 이런 공백이 더 늘어납니다. 누가 그리고 무엇이 MFA 적용 대상인지 체계적으로 감사하지 않는다면 중요한 노출을 놓칠 수 있습니다. 플랫폼 전반의 ID 대시보드를 살펴보는 것이 실제 적용 범위를 파악하는 유일한 방법입니다. MFA가 어디서 실패하는지 아는 것은 통제를 강화하고, 어떤 방식으로 어디에서 이루어지든 모든 로그인을 보호하는 기반이 됩니다.

안전한 인증을 위한 피싱 방지 MFA 방식 구현

표준 MFA도 좋지만, 공격자가 푸시 피로 공격, 피싱 프롬프트, 토큰 탈취로 사용자를 속이는 방법을 알아내기 전까지만 그렇습니다. 최신 공격을 확실히 차단하려면 피싱 방지 MFA로 전환하는 것이 정말 중요한 이유입니다.

인증 앱의 번호 일치는 확실한 개선책입니다. 일반 푸시를 승인하는 대신 사용자가 입력해야 하는 코드를 받게 되므로, 공격자가 프롬프트 폭탄 공격으로 사용자를 속이기가 거의 불가능해집니다. Microsoft와 다른 업체들도 이를 강력히 권장하며, 새로운 MFA 설정에서는 기본적으로 켜 두고 있습니다. 최근 주목받은 침해 사고에서 사용된 교묘한 프롬프트 폭탄 공격을 직접 막아 줍니다.

YubiKey나 FIDO2 토큰 같은 물리적 보안 키는 한 걸음 더 나아갑니다. 이러한 키는 피싱으로 탈취할 수 없고 공유 비밀에 의존하지 않습니다. 매우 민감한 환경이나 관리자, 임원을 위한 계정이라면 이는 사실상 "잠금 모드"에 가깝습니다. 하드웨어 기반 인증으로 실제 공격 기법 대부분을 단번에 차단합니다.

사용성을 희생할 필요도 없습니다. 최신 암호 없는 로그인 옵션과 Microsoft 365 및 Defender 같은 플랫폼과의 긴밀한 통합을 활용하면, 피싱 방지 MFA를 기존 업무 흐름에 그대로 연결할 수 있습니다. 조건부 액세스와 고급 위협 보호를 사용자 친화적인 환경과 함께 구현한 실제 사례는 M365 보안 설정 강화 가이드에서 확인하실 수 있습니다. 피싱 방지 MFA로의 전환은 더 이상 "있으면 좋은" 선택이 아니라, 정교한 공격자로부터 보호하기 위한 새로운 기본 요건으로 빠르게 자리 잡고 있습니다.

Microsoft Entra ID를 활용한 소규모 기업의 무료 MFA 구현

소규모 기업을 운영하신다면, 강력한 MFA를 도입하기 위해 막대한 예산이나 고급 라이선스가 꼭 필요하지는 않습니다. Microsoft Entra ID(이전 명칭 Azure AD)는 모든 기업이 몇 번의 클릭만으로 활성화할 수 있는 보안 기본값을 제공합니다.

Entra 관리 센터에서 보안 기본값을 켜십시오. 그러면 복잡한 정책을 구성하거나 추가 라이선스를 구매하지 않고도 모든 사용자에 대해 MFA가 즉시 적용됩니다. 무엇보다 좋은 점은 이러한 사전 구성된 설정이 별도의 작업 없이 바로 작동하며, 계정 침해에 대한 기본 보호를 제공하고 기본적으로 레거시 인증 프로토콜을 차단한다는 것입니다.

원활한 롤아웃이 중요합니다. 사용자가 새로운 인증 요청에 당황하지 않도록 사전에 공지하십시오. MFA 도구나 인증 앱에 익숙하지 않은 사용자를 지원하십시오. 가능하다면 먼저 파일럿 그룹으로 설정을 테스트하여, 중요한 업무 앱이나 서비스 계정에서 예기치 않은 문제가 없는지 확인하십시오.

핵심은 "설정하고 잊어버리는" 방식에 의존하지 않는 것입니다. 보안 기본값을 적용받는 사용자를 정기적으로 검토하고, 누락될 수 있는 계정이 있는지 확인하십시오. 더 세분화된 제어가 필요해지면 조건부 액세스를 단계적으로 추가하는 것을 고려하되, 처음에는 단순하고 안전하게 시작하십시오. 안전한 롤아웃 계획과 눈에 띄지 않는 취약점을 해소하기 위한 아이디어는 실용적인 조건부 액세스 가이드에서 다루는 함정과 전략을 참고하시기 바랍니다.

비즈니스를 위한 MFA: 정책 시행 및 위험 완화를 위한 모범 사례

1. 편의를 이유로 예외 없이 모든 사용자에게 MFA를 적용하십시오. 관리자뿐만 아니라 임시 직원, 협력업체, 임원을 포함한 모든 사용자 계정이 MFA 정책의 적용을 받도록 하십시오. 예외는 드물게 두고, 항상 기간을 한정하며 명확한 업무상 사유가 있어야 합니다.
2. 서비스 계정 및 비사용자 계정은 최신 솔루션으로 보호하십시오. 기존의 서비스 계정은 MFA의 주요 취약점이 될 수 있습니다. 관리형 인증과 수명 주기 관리, 감사 가능성을 제공하는 Entra 워크로드 ID 같은 도구를 사용해 이러한 계정을 현대화하십시오. 이 접근 방식에 대한 자세한 내용은 비사용자 위험에 관한 이 분석을 참고하십시오.
3. 적절한 교육과 지원으로 사용자를 온보딩하십시오. 사용자가 인증 앱이나 물리적 토큰을 설정하도록 돕고, MFA가 왜 중요한지 알리십시오. 롤아웃 기간에는 헬프데스크 지원을 제공하고, 특히 숫자 일치와 같은 새로운 MFA 요청에 익숙하지 않은 사용자에게 신경 쓰십시오.
4. MFA 우회 시도와 비정상적인 로그인을 모니터링하십시오. 고위험 시나리오에서 MFA가 누락되거나 레거시 프로토콜이 우회되는 경우를 탐지할 수 있도록 알림과 로그를 설정하십시오. 가능한 한 사고 대응을 자동화하십시오. 예를 들어 위험한 로그인 시 비밀번호를 재설정하거나 MFA 단계 상향을 트리거하는 방식입니다.
5. MFA 적용 범위와 정책 준수 여부를 정기적으로 감사하십시오. 적용 범위가 이미 완벽하다고 가정하지 마십시오. Microsoft 365는 물론 멀티 클라우드 환경이라면 다른 플랫폼 전반의 ID 대시보드와 보고 기능을 활용하십시오. 점검 결과는 IT 부서와 경영진이 여전히 남아 있는 위험을 명확히 파악할 수 있도록 알기 쉬운 보고서로 정리하십시오. 효과적인 거버넌스는 설정 버튼과 토글을 넘어서는 것입니다. 더 깊이 있는 통찰을 원하시면 M365 거버넌스 실패 사례에서 얻는 교훈을 살펴보십시오.

이 체크리스트를 따르면, 공격자가 아무리 교묘한 기법을 사용하더라도 MFA를 우회할 위험을 크게 줄일 수 있습니다. 일관성, 명확한 정책, 정기적인 검토가 보호 수준을 강하게 유지하고 취약점을 막아 줍니다.