패스워드리스 인증은 사용자의 신원을 확인하기 위해 기존 비밀번호, 보안 질문 또는 기타 지식 기반 인증 요소를 사용하지 않는 인증 방식입니다.대신 패스키, 물리적 보안 키, 생체 인식과 같이 탈취하거나 위조하기 어려운 인증 수단을 사용합니다.
비밀번호는 가장 널리 사용되는 사용자 인증 방식입니다. 하지만 가장 취약한 방식이기도 합니다. 비밀번호는 피싱 공격이나 정보 탈취형 멀웨어를 통해 탈취될 수 있으며, 무차별 대입 공격으로 추측되거나 다크 웹에서 해커들이 개당 몇 달러에 판매하기도 합니다.
탈취한 자격 증명을 손에 넣은 위협 행위자는 정상 계정을 탈취하고 유효한 권한을 악용하며, 자신의 활동을 정상 사용자의 행동처럼 보이게 하여 탐지를 피할 수 있습니다. IBM X-Force Threat Intelligence Index 2025에 따르면 유효한 계정 탈취는 가장 흔한 초기 침투 경로 중 하나로, X-Force가 분석한 사이버 공격의 32%에서 확인되었습니다.
사용자만 알고 있는 비밀 정보에 의존하는 다른 지식 기반 인증 요소도 동일한 취약점을 가지고 있습니다. 첫 반려동물의 이름이나 어린 시절 가장 친한 친구의 이름과 같은 일반적인 보안 질문의 답도 사회공학 기법이나 간단한 소셜 미디어 검색만으로 쉽게 알아낼 수 있습니다.
이름에 '패스워드'가 들어가 있지만, 패스워드리스 인증은 보안 질문을 포함한 모든 지식 기반 인증 요소를 사용하지 않습니다. 패스워드리스 인증은 이러한 지식 기반 인증 요소 대신 하드웨어 토큰, 암호화 기반 패스키, 지문, 얼굴 인식, 인증 앱 등 다양한 인증 수단을 사용합니다.
이러한 패스워드리스 인증 요소는 지식 기반 인증 요소보다 훨씬 더 안전한 것으로 평가됩니다. 이러한 인증 요소는 쉽게 탈취하거나 위조할 수 없으므로 오늘날 가장 널리 퍼져 있는 일부 사이버 위협에도 강한 보안성을 제공합니다. 예를 들어 사이버 범죄자는 피싱 링크를 통해 패스키를 탈취할 수 없으며, 고도로 정교한 기술 없이는 가짜 지문을 만들어낼 수도 없습니다.
Think 뉴스레터를 통해 AI, 사이버 보안, 데이터 및 자동화에 대한 선별된 뉴스를 제공하는 보안 리더들과 함께하세요. 받은 편지함으로 직접 제공되는 전문가 튜토리얼과 설명서를 통해 빠르게 배울 수 있습니다. IBM 개인정보 보호정책을 참고하세요.
패스워드리스 인증은 인증 과정에서 지식 기반 인증 요소를 지식 기반이 아닌 다른 인증 수단으로 대체하는 방식으로 작동합니다. 따라서 비밀번호를 입력하는 대신 매직 링크를 클릭하거나 푸시 알림을 탭하도록 요청할 수 있습니다.
패스워드리스 인증의 원리를 이해하려면 먼저 일반적인 인증 방식이 어떻게 작동하는지 살펴보는 것이 도움이 됩니다.
일반적인 인증 과정에서 사용자는 자신이 주장하는 본인임을 입증하는 증거를 제시하여 신원을 확인합니다. 이러한 증거를 '인증 요소'라고 하며, 일반적으로 다음 네 가지 범주 중 하나에 속합니다.
지식 기반 인증 요소: 비밀번호나 보안 질문의 답변처럼 사용자가 알고 있는 정보입니다.
소유 기반 인증 요소: 개인 스마트폰에서 생성된 일회용 비밀번호(OTP)나 개인 암호화 키처럼 사용자가 소유하고 있는 것입니다.
생체 기반 인증 요소: 지문, 얼굴, 홍채 스캔과 같은 생체 정보를 의미합니다.
행동 기반 인증 요소: 고유한 타이핑 패턴이나 마우스 사용 방식처럼 사용자의 행동 특성을 의미합니다.
패스워드리스 인증 솔루션은 소유 기반, 생체 기반 및 행동 기반 인증 요소만 사용합니다. 대표적인 비밀번호 대체 인증 방식은 다음과 같습니다.
패스키는 공개 키 암호화를 기반으로 하며, 일반적으로 FIDO 또는 FIDO2라는 표준에 따라 구현됩니다.
패스키는 암호화 키 쌍을 생성하는 방식으로 작동합니다. 하나는 사용자가 가입하는 서비스와 공유되는 공개 키이고, 다른 하나는 개인 스마트폰과 같은 사용자 기기에만 저장되는 개인 키입니다. 개인 키는 서비스와 절대로 공유되지 않습니다. 또한 개인 키는 PIN 또는 생체 인증으로 보호됩니다.
(FIDO 표준은 하드웨어 보안 키도 지원합니다. 자세한 내용은 '하드웨어 토큰'을 참조하세요.)
패스키를 사용하는 인증 절차는 다음과 같습니다.
패스키가 비밀번호보다 훨씬 안전한 것으로 평가되는 데에는 여러 가지 이유가 있습니다. 개인 키는 사용자의 기기를 절대로 벗어나지 않으므로 중간에서 탈취될 수 없습니다. 공격자가 개인 키가 저장된 기기를 탈취하더라도 해당 키를 사용하려면 PIN을 입력하거나 생체 인증을 통과해야 합니다.
IBM 마스터 발명가이자 수석 엔지니어인 Jeff Crume은 IBM® Security Intelligence 팟캐스트의 한 에피소드에서 다음과 같이 말했습니다.
[2025 IBM 데이터 유출 비용(CODB) 보고서]에 따르면 데이터 유출의 가장 큰 원인은 피싱입니다. 피싱 공격의 목적이 무엇일까요? 바로 여러분의 자격 증명을 노리는 것입니다. 그런데 생각해 보세요. 비밀번호가 없다면 누구도 그것을 훔칠 수 없습니다. 패스키를 사용한다면 자격 증명을 탈취하기가 훨씬 더 어려워집니다.
생체 인증은 사용자의 신체적 특성을 기반으로 합니다. 홍채 스캔, 얼굴 인식 기술, 지문 인식은 가장 널리 사용되는 생체 인증 방식입니다.
생체 인증 요소는 쉽게 탈취하거나 위조할 수 없기 때문에 안전한 인증 방식으로 여겨집니다. 또한 사용자는 카메라를 바라보거나 화면에 엄지를 대기만 하면 되므로 별도의 정보를 입력할 필요가 없어 사용하기도 편리합니다.
다만 매우 드문 일이기는 하지만 생체 정보도 탈취될 수 있다는 점은 단점입니다. 예를 들어 2024년에는 해커들이 호주의 Outabox라는 기업에서 얼굴 인식 데이터를 탈취했습니다. 또한 생체 정보는 한번 탈취되면 비밀번호처럼 재설정할 수 없습니다. 지문이나 홍채 패턴은 변경할 수 없기 때문입니다.
이름 그대로 일회용 비밀번호(OTP)는 일반적으로 짧은 시간 동안만 유효한 일회용 비밀번호로, 장기간 사용하는 자격 증명을 대체합니다. 사용자가 서비스에 로그인할 때마다 새로운 OTP가 생성됩니다.
OTP는 여러 가지 방식으로 생성할 수 있습니다. 대표적인 방식은 다음과 같습니다.
OTP는 장기간 유지되는 비밀 정보가 아니므로 지식 기반 인증 요소로 간주되지 않습니다. OTP는 소유 기반 인증 요소입니다. 사용자를 인증하는 것은 OTP 자체를 알고 있다는 사실이 아니라, OTP를 생성한 등록된 인증 앱, 전화번호 또는 보안 키를 소유하고 있다는 사실입니다.
OTP는 일반적으로 한 번 사용하거나 일정 시간이 지나면 만료되므로 탈취되거나 가로채더라도 악용될 가능성이 제한됩니다. 다만 정보 탈취형 멀웨어나 중간자(MitM) 공격과 같은 정교한 공격을 통해 탈취될 수 있습니다.
보안 키라고도 하는 하드웨어 토큰은 인증 정보를 저장하거나 생성하는 전용 장치로, 일반적으로 USB 동글 형태를 사용합니다.
일부 하드웨어 토큰은 OTP를 사용합니다. 인증 앱처럼 새로운 OTP를 주기적으로 생성하거나, 사용자가 버튼을 누를 때마다 필요에 따라 OTP를 생성합니다. 다른 하드웨어 토큰은 기기에 연결되면 인증 정보를 서비스에 자동으로 전송합니다.
하드웨어 토큰은 인터넷에 연결되지 않는 경우가 많고, 사용하려면 실제로 토큰을 소지해야 하므로 매우 강력한 인증 수단으로 평가됩니다.
다만 보안 키도 분실하거나 도난당할 수 있습니다. 또한 모든 직원이나 서비스 사용자에게 보안 키를 지급하는 것은 비용이 많이 들고 운영 측면에서도 부담이 될 수 있습니다.
매직 링크는 인증 토큰이 포함된 특수한 링크입니다.
먼저 사용자는 자신의 이메일 계정이나 전화번호를 서비스에 등록합니다. 그런 다음 로그인하려고 할 때 매직 링크를 요청합니다. 서비스는 등록된 이메일 또는 모바일 기기로 해당 링크를 전송합니다. 사용자가 해당 링크를 클릭하면 인증이 완료되고 로그인된 상태로 원하는 서비스에 바로 접속할 수 있습니다.
매직 링크는 소유 기반 인증 요소의 한 형태이지만, 사용자의 신원을 증명하는 것은 링크 자체를 소유하고 있다는 사실이 아닙니다. 신원을 증명하는 것은 미리 등록된 이메일 계정이나 전화번호를 소유하고 있다는 사실입니다.
매직 링크도 OTP와 마찬가지로 짧은 시간 동안만 유효하며 한 번 사용하면 자동으로 만료됩니다.
그러나 공격자가 사용자의 이메일 받은편지함이나 전화번호에 접근하게 되면 매직 링크는 쉽게 악용될 수 있습니다. 공격자는 표적으로 삼은 서비스에서 매직 링크를 요청하기만 하면 해당 이메일이나 전화번호를 통해 손쉽게 로그인할 수 있습니다.
이 방식은 매직 링크와 유사하게 작동하며, 사용자가 서비스에 로그인하려고 하면 미리 등록된 모바일 기기로 푸시 알림을 전송합니다. 사용자는 액세스하려면 푸시 알림에서 '승인' 버튼(또는 이에 해당하는 버튼)을 눌러야 합니다.
푸시 알림도 소유 기반 인증 요소의 한 형태입니다. 푸시 알림을 승인하는 행위는 사용자가 등록된 기기를 실제로 소유하고 있음을 확인하여 신원을 검증합니다.
푸시 알림은 편리하고 대체로 안전하지만 '푸시 알림 폭주' 공격(MFA 피로, MFA 폭격, 프롬프트 스팸이라고도 함)에 취약할 수 있습니다.
이 공격에서는 위협 행위자가 표적으로 삼은 사용자의 사용자 ID를 입력한 뒤 푸시 알림 인증 요청을 반복적으로 전송하여 사용자가 실수로 승인을 누르도록 유도합니다. 표적 사용자의 기기로 갑자기 대량의 알림을 전송해 사용자가 압도당하도록 만든 뒤, 실수로 승인하거나 알림을 멈추기 위해 승인하도록 유도하는 것이 이 공격의 목적입니다. 사용자가 한 번 승인하면 해커는 해당 사용자의 계정에 접근할 수 있습니다.
QR 기반 로그인은 QR 코드를 표시합니다. 사용자는 일반적으로 인증 앱이나 해당 서비스 전용 앱으로 QR 코드를 스캔하며, 그러면 로그인이 완료됩니다.
이 방식의 기본 원리는 세션 전송입니다. 예를 들어 사용자가 QR 코드를 이용해 노트북에서 웹사이트에 로그인하는 경우를 살펴보겠습니다.
공격자가 QR 코드를 입수하더라도 사용자의 사전 인증된 기기가 없으면 이를 악용하기는 어렵습니다. 다만 이론적으로는 공격자가 사용자의 휴대전화 세션을 탈취하여 계정에 침입할 수도 있습니다.
QR 기반 인증은 큐싱(quishing, QR 피싱 또는 QR 재킹이라고도 함) 공격에도 취약할 수 있습니다. 공격자는 피해자에게 가짜 QR 코드를 제시하며, 이를 스캔하면 정상적인 세션이 아니라 공격자가 제어하는 세션이 승인됩니다.
행동 기반 인증 요소는 사용자의 일반적인 IP 주소 범위, 위치, 평균 타이핑 속도와 같은 행동 패턴을 기반으로 사용자의 신원을 검증하는 디지털 특성입니다.
이러한 요소만으로는 사용자의 신원을 충분히 입증하는 수단으로 사용하는 경우가 드뭅니다. 이러한 요소는 일반적으로 사용자의 보안 상태를 지속적으로 평가하여 위험 수준에 따라 필요한 인증 요건을 동적으로 결정하는 위험 기반 인증 체계의 일부로 사용됩니다.
예를 들어 사용자가 평소 사용하던 기기에서 평소와 같은 시간에 로그인하는 경우에는 하나의 인증 요소만 요구될 수 있습니다. 반면 동일한 사용자가 새로운 기기나 평소와 다른 위치에서 로그인하는 경우에는 추가 인증 요소를 요구할 수 있습니다.
최근 몇 년 동안 클라우드 서비스, 인공지능, 머신 러닝의 확산에 힘입어 일반적인 기업 네트워크에서 사용되는 비인간 ID(NHI)의 수가 크게 증가했습니다. 또한 AI 에이전트가 점점 더 정교한 자동화를 가능하게 하면서 NHI의 권한을 관리하고 자격 증명을 보호하는 일은 사이버 보안팀의 핵심 과제가 되고 있습니다.
비인간 계정도 사람의 계정과 마찬가지로 탈취될 수 있습니다. 이러한 계정은 높은 권한을 가진 경우가 많고(예를 들어 기업의 가장 민감한 데이터베이스를 읽을 수 있는 백업 프로세스), 하나의 자격 증명에 의존해 인증하기 때문에 공격자에게 매력적이면서도 취약한 표적이 될 수 있습니다.
NHI는 사람이 사용하는 방식으로 비밀번호를 사용하지는 않지만, 비밀번호와 마찬가지로 탈취, 위조 또는 해독될 수 있는 인증서와 토큰에 의존하는 경우가 많습니다.
사람을 위한 패스워드리스 인증은 쉽게 탈취되거나 위조될 수 있는 장기 자격 증명을 없애는 것을 목표로 합니다. 조직은 Security Lifecycle Management 프로세스에서와 같이 JIT(Just-in-Time) 액세스와 자격 증명 볼트를 함께 사용하여 NHI에도 동일한 수준의 보안 효과를 적용할 수 있습니다.
보안 라이프사이클 관리는 NHI 자격 증명의 생성, 교체 및 안전한 저장을 자동화하여, 코드에 하드코딩된 영구적인 비밀 정보를 중앙의 안전한 볼트에 저장된 단기 자격 증명 또는 JIT 자격 증명으로 대체합니다.이러한 볼트는 암호화와 강력한 인증으로 보호되며, 필요할 때 권한이 있는 사용자만 이러한 자격 증명에 접근할 수 있도록 지원합니다.
HashiCorp의 현장 CTO인 Jake Lundberg는 Security Intelligence의 한 에피소드에서 초단기 NHI 자격 증명의 비전을 다음과 같이 설명했습니다.
가장 이상적인 시나리오는 세션 기반 자격 증명으로 전환하는 것입니다. 세션이 시작되면 JIT(Just-in-Time) 자격 증명이 발급됩니다. 그리고 세션이 종료되는 즉시 해당 자격 증명은 폐기됩니다. 따라서 세션이 5분만 지속되었더라도 세션이 끝나는 즉시 해당 시스템에서 그 자격 증명을 제거합니다.
SPIFFE/SPIRE와 같은 워크로드 ID 사양은 NHI의 ID를 암호학적으로 검증 가능한 런타임 속성과 연결할 수 있습니다. 이러한 프레임워크를 사용하면 워크로드가 어디에서 어떤 방식으로 실행되는지를 기준으로 워크로드를 검증할 수 있으므로, NHI는 비밀번호나 API 키 없이도 인증할 수 있습니다.
패스워드리스 로그인은 단일 인증 요소(지식 기반이 아닌 인증 요소 1개 사용) 또는 다중 인증(MFA)(지식 기반이 아닌 인증 요소 2개 이상 사용) 방식으로 구현할 수 있습니다. 패스워드리스 MFA는 일반적으로 첫 번째 인증 요소로 비밀번호를 사용하는 일반적인 MFA나 2단계 인증(2FA)보다 더 안전한 방식으로 평가됩니다.
(비밀번호와 지식 기반이 아닌 다른 인증 요소를 함께 요구하는 MFA는 비밀번호를 사용하므로 패스워드리스 인증이 아닙니다. 진정한 패스워드리스 로그인이 되려면 사용하는 모든 인증 요소가 지식 기반이 아닌 인증 요소여야 합니다.)
모든 앱이 완전한 패스워드리스 인증을 기본적으로 지원하는 것은 아닙니다. 기업 전체에 패스워드리스 인증을 구현하기 위해 조직에서는 흔히 아이덴티티 오케스트레이션 플랫폼을 사용합니다. 이러한 플랫폼은 여러 ID 공급자의 서로 다른 ID 및 액세스 관리(IAM) 시스템을 하나의 매끄러운 ID 워크플로를 갖춘 통합 아이덴티티 패브릭으로 연결하고 조율합니다. 아이덴티티 오케스트레이션은 많은 싱글사인온(SSO) 시스템의 기반 기술입니다.
기본적으로 아이덴티티 오케스트레이션은 각 서비스의 로그인 요청을 중앙 집중식 인증 프로세스로 전달하는 방식으로 작동하며, 많은 아이덴티티 오케스트레이션 플랫폼은 패스워드리스 중앙 인증을 지원합니다. 따라서 기술 스택의 개별 앱이나 서비스가 패스워드리스 인증을 지원하지 않더라도 기업 전체에서는 패스워드리스 인증을 구현할 수 있습니다.
비밀번호 기반 인증은 오랫동안 사용자의 신원을 확인하는 기본적인 방식으로 사용되어 왔습니다. 하지만 동시에 가장 안전하지 않은 인증 방식이기도 합니다. 패스워드리스 인증은 현대 네트워크에서 가장 취약한 고리 중 하나를 제거하여 엔터프라이즈 공격 표면에서 널리 악용되는 보안 취약점을 줄일 수 있습니다.
비밀번호는 피싱과 같은 사회공학 공격이나 스파이웨어 및 정보 탈취형 멀웨어를 통해 쉽게 탈취될 수 있습니다. 특히 헬프데스크 공격에 취약합니다. 이는 악의적인 공격자가 비밀번호를 재설정해야 하는 사용자나 직원을 사칭해 헬프데스크에 전화하는 사회공학적 공격 수법입니다.이러한 공격은 매우 높은 성공률을 보이기 때문에 점점 더 빈번하게 발생하고 있습니다. IBM® X-Force의 전 수석 피플 해커(Chief People Hacker)인 Stephanie Carruthers는 다음과 같이 말했습니다.
우리는 고객사를 대상으로 사회공학 캠페인을 수행하면서 헬프데스크에 전화를 걸어 직원을 사칭해 비밀번호를 재설정할 수 있는지 테스트합니다. 지금까지는 그 방법을 시도할 때마다 모두 성공했습니다.
사람들은 공격자가 무차별 대입 공격이나 사전 공격을 통해 쉽게 알아낼 수 있는 약한 비밀번호를 사용하는 경우가 많습니다. 즉, 흔히 사용되는 비밀번호를 하나씩 시도하다가 맞는 비밀번호를 찾아내는 방식입니다. 또한 여러 서비스에서 동일한 비밀번호를 재사용하는 경우가 많아 크리덴셜 스터핑 공격에 악용될 수 있습니다. 공격자는 한 서비스의 비밀번호를 확보하면 다른 여러 서비스에서도 같은 비밀번호를 시도할 수 있습니다.
사용자가 서비스마다 서로 다르고 추측하기 어려운 비밀번호를 사용하는 등 비밀번호 관리 모범 사례를 따르더라도 문제가 발생할 수 있습니다. 사람들이 사용하는 계정 수가 워낙 많기 때문에 이러한 비밀번호를 모두 기억하기는 쉽지 않습니다. API 키와 같은 NHI 자격 증명은 애플리케이션에 하드코딩되거나 공유 드라이브에 일반 텍스트 형태로 보호되지 않은 채 저장되는 경우가 있습니다.
이러한 비밀번호 관리 문제를 해결하기 위해 비밀번호 관리 툴이 등장했지만, 이들 역시 고유한 보안 취약점을 가지고 있습니다. 대표적으로 대부분의 비밀번호 관리 툴은 마스터 비밀번호로 보호되는데, 이 마스터 비밀번호 자체도 탈취될 수 있습니다. 즉, 적절한 공격 기법을 사용하면 저장된 비밀번호도 탈취될 수 있습니다.
NHI의 급격한 증가 역시 패스워드리스 인증이 중요한 과제로 떠오른 이유 중 하나입니다.
애플리케이션, 시스템 프로세스 및 기타 비인간 사용자는 일반적인 비밀번호를 사용하지는 않지만 OAuth 토큰, API 키, 인증서 및 기타 비밀 정보를 사용해 인증합니다.기존의 인간과 비인간의 역할을 모두 수행하는 AI 에이전트는 자동화된 작업을 수행하기 위해 사람 사용자의 자격 증명을 '빌려' 사용하는 경우도 있습니다. 이러한 비밀 정보도 비밀번호와 마찬가지로 탈취되어 악용될 수 있습니다.
기존 IAM 시스템은 NHI의 비밀 정보 관리를 고려하여 설계되지 않았기 때문에 ID 보안의 공백이 발생합니다.
ID 및 보안 전문가는 이러한 과제를 오래전부터 인식해 왔습니다. 하지만 관련 기술이 성숙하면서 이제는 패스워드리스 인증이 빠르게 확산되고 있습니다. 스마트폰의 보급으로 일반 사용자도 생체 인증과 시간 기반 일회용 비밀번호(TOTP)를 손쉽게 사용할 수 있게 되었습니다. FIDO 표준과 이를 지원하는 WebAuthn 및 CTAP2 프로토콜이 개발되면서 웹사이트와 웹 애플리케이션에서도 패스키 기반 인증을 널리 사용할 수 있게 되었습니다. 또한 새로운 Security Lifecycle Management 툴을 통해 조직은 NHI의 자격 증명 생성, 교체, 저장 및 액세스 관리를 자동화할 수 있습니다.
패스워드리스 인증은 일반적으로 비밀번호 기반 인증보다 더 안전하고 편리한 방식으로 평가됩니다. 단점은 주로 패스워드리스 인증을 처음 도입할 때 발생할 수 있는 구현의 복잡성과 비용에 있습니다.
피싱은 데이터 유출의 주요 원인 중 하나로, IBM 데이터 유출 비용(CODB) 보고서에서 분석한 데이터 유출 사례의 16%를 차지했습니다. 대부분의 피싱 공격은 사용자의 자격 증명, 특히 비밀번호를 탈취하는 것을 목적으로 합니다.
패스워드리스 인증은 쉽게 탈취하기 어려운 피싱 방어형 자격 증명으로 비밀번호를 대체하여 데이터 보안에 대한 가장 큰 위협 중 하나를 차단합니다.
또한 패스워드리스 자격 증명은 정보 탈취형 멀웨어나 스파이웨어와 같은 일반적인 멀웨어에 대한 방어도 강화할 수 있습니다. 예를 들어 패스키는 전송하거나 입력할 필요가 없으며, OTP는 탈취되더라도 한 번 사용하면 더 이상 사용할 수 없습니다.
대부분의 조직에서 비밀번호를 잊어버리면 IT 헬프데스크에 문의해야 합니다. 이러한 문의는 비용을 발생시키고 IT 담당자의 업무 부담을 늘리며 직원의 업무 흐름도 방해합니다. 또한 앞서 설명한 것처럼 헬프데스크 문의는 위협 행위자에게 효과적인 공격 경로를 제공하기도 합니다.
패스워드리스 인증을 도입하면 비밀번호 재설정이 필요 없어져 헬프데스크 문의를 줄이고 IT 지원 비용을 절감하며 위험한 공격 경로를 완화할 수 있습니다.
탈취된 자격 증명은 네트워크 침입의 주요 수단일 뿐 아니라, 공격자가 내부에 침투한 이후에도 가장 먼저 노리는 대상 중 하나입니다. 최신 Threat Intelligence Index에서 분석한 공격 가운데 가장 흔한 결과는 자격 증명 탈취(Credential harvesting)로, 전체 사례의 26%에서 확인되었습니다.
공격자는 이러한 자격 증명을 확보하면 이를 이용해 내부 확산과 권한 상승을 수행하거나, 다크 웹에서 다른 공격자에게 판매합니다. 어느 경우든 탈취된 비밀번호는 심각한 피해로 이어질 수 있습니다.
패스워드리스 자격 증명은 애초에 탈취하기도 훨씬 어렵고, 설령 탈취되더라도 활용 가치가 매우 낮거나 사실상 판매가 불가능합니다. 예를 들어 서비스가 패스키를 저장하지 않기 때문에 서비스를 침해하더라도 패스키를 탈취할 수는 없습니다. 각 패스키는 사용자 개인의 기기에만 저장됩니다. 또한 이미 만료된 OTP를 돈을 주고 사려는 사람도 없습니다.
이러한 장점에도 불구하고 패스워드리스 인증에는 구현의 복잡성, 분실 또는 도난당한 자격 증명의 복구 어려움, 그리고 패스워드리스 로그인에 특화된 사이버 공격에 취약할 수 있다는 단점도 있습니다.
일반적인 엔터프라이즈 네트워크에는 여러 공급업체의 온프레미스 및 클라우드 기반 애플리케이션과 자산이 혼재되어 있으며, 각각 조금씩 다른 액세스 관리 시스템을 사용하기 때문에 패스워드리스 인증을 항상 지원하는 것은 아닙니다.
또한 일부 전문가들은 바이브 코딩으로 생성된 일시적인 소프트웨어가 엔터프라이즈 네트워크에서 더욱 보편화되면서 IAM 시스템 환경이 한층 더 복잡하고 다양해질 것으로 전망합니다.
많은 조직은 패스워드리스 인증을 도입하기 전에 먼저 모든 리소스를 하나의 공통된 ID 워크플로로 연결하는 통합 아이덴티티 패브릭을 구축해야 합니다. 오늘날 통합 아이덴티티 패브릭은 ID 보안의 모범 사례로 여겨지지만, 이를 구축하려면 시간과 비용은 물론 적절한 툴과 전문성이 필요합니다.
또한 조직이 지원하려는 자격 증명의 유형에 따라 사용자를 패스워드리스 인증 체계에 등록하는 과정도 쉽지 않을 수 있습니다. 패스키와 인증 앱은 비교적 간단하지만, 하드웨어 보안 키와 생체 인증은 도입과 관리가 더 복잡할 수 있습니다.
패스워드리스 인증 요소는 재설정이 필요한 경우가 드뭅니다. 하지만 재설정이 필요한 경우에는 절차가 복잡할 수 있습니다.
예를 들어 하드웨어 보안 키를 분실하면 교체 비용이 발생하며, 새 키를 사용자에게 직접 전달해야 합니다. 탈취된 생체 정보는 변경할 수 없습니다. 인증 앱이 설치된 스마트폰을 분실하거나 도난당하면 위협 행위자가 사용자의 디지털 자산 전반에 접근할 수 있게 될 수 있습니다.
패스워드리스 인증 방식은 침해하기가 훨씬 어렵지만, 일부 고도화된 공격에는 여전히 취약할 수 있습니다.
예를 들어 충분히 정교한 중간자(MitM) 공격은 OTP가 실제 웹사이트에 입력되기 전, 그리고 만료되기 전에 이를 가로채어 정상 사용자보다 먼저 사용할 수 있습니다. SIM 스와핑 공격은 공격자가 피해자를 사칭해 이동통신사로 하여금 전화번호를 자신이 제어하는 휴대전화로 이전하도록 속이는 수법으로, OTP, 푸시 알림, 매직 링크 및 기타 일반적인 인증 요소를 가로채는 데 악용될 수 있습니다.