대부분의 MFA 방식(SMS 코드, 일회용 비밀번호, 푸시 알림 등)은 최종 사용자가 서비스에 제출하는 비밀 값을 생성하는 방식으로 작동합니다. 예를 들어 사용자가 은행 계정에 로그인할 때 비밀번호와 함께 휴대전화로 전송되거나 인증 앱에서 생성된 6자리 코드를 입력할 수 있습니다.
이러한 MFA 방식은 많은 공격을 차단하는 데 도움을 줄 수 있지만 사용자를 속여 자격 증명을 노출하거나 사기성 액세스를 승인하게 만드는 피싱, 즉 사이버 공격에는 취약할 수 있습니다.
피싱 공격은 기술적 취약점이 아니라 사람의 행동을 악용하기 때문에 기존 MFA로 차단하기가 더 어려울 수 있습니다. 공격자가 탈취하거나 조작하는 인증 요소 자체는 기술적으로는 유효합니다. 코드는 실제 코드이며 승인도 실제로 이루어진 것이고 자격 증명도 올바른 정보입니다. 기존 MFA는 정상 로그인과 강요되거나 가로채인 로그인을 구분할 방법이 없습니다.
IBM X-Force Threat Intelligence Index에 따르면 피싱은 공격자가 이후 악용할 유효한 자격 증명을 획득하는 주요 수단 중 하나입니다. 탈취된 계정은 가장 일반적인 초기 공격 벡터 중 하나로 전체 사고의 32%를 차지합니다.
피싱 저항형 다단계 인증은 근본적으로 다른 방식으로 인증을 수행함으로써 이러한 공격을 차단하는 데 도움을 줍니다.비밀 값을 전송하는 대신 공개 키 암호화 및 오리진 바인딩(origin binding)이라는 기술을 사용합니다.
공개 키 암호화는 수학적으로 연결된 공개 키와 개인 키 한 쌍을 사용해 공유 비밀 값을 전송하지 않고 ID를 검증하는 암호화 방식입니다.
오리진 바인딩은 보안 키 또는 휴대전화의 패스키와 같은 인증 수단이 합법적인 도메인을 인식한 경우에만 응답하는 기술입니다. 사이트가 위조된 경우 인증 수단은 응답하지 않으며 공격자가 탈취할 수 있는 정보도 존재하지 않습니다.
예를 들어 직원이 실제 로그인 페이지가 아닌 위조된 로그인 페이지로 유인되었다고 가정해 보겠습니다. 이 경우 사용자가 이미 자격 증명을 입력했더라도 인증 수단은 도메인을 확인한 뒤 일치 항목이 없음을 감지하고 응답하지 않습니다.
피싱 저항형 MFA를 사용하면 직원이 피싱 공격에 속더라도 조직은 사용자 계정을 보호하는 데 도움을 줄 수 있습니다. 또한 현재 피싱 저항형 인증을 강력한 인증의 기본 기준으로 간주하고 있는 미국 국립표준기술연구소(NIST), 사이버보안 및 인프라 보안국(CISA) 및 사이버 보험 인수기관 등의 증가하는 표준 및 규제 요구 사항을 충족하는 데도 도움을 줄 수 있습니다.
Think 뉴스레터를 통해 AI, 사이버 보안, 데이터 및 자동화에 대한 선별된 뉴스를 제공하는 보안 리더들과 함께하세요. 받은 편지함으로 직접 제공되는 전문가 튜토리얼과 설명서를 통해 빠르게 배울 수 있습니다. IBM 개인정보 보호정책을 참고하세요.
SMS 문자 메시지 코드는 원래 사이버 보안을 고려해 설계되지 않은 통신사 인프라를 통해 전달됩니다.
SIM 스와프 공격에서는 공격자가 이동통신사를 속이거나 콜센터 직원을 사회공학적으로 조작해 피해자의 전화번호를 새로운 SIM 카드로 이전하도록 만듭니다. 번호 이전이 완료되면 MFA 코드를 포함한 모든 문자 메시지가 공격자에게 전달됩니다.
SMS 코드는 또한 통신 사업자가 네트워크 간 메시지 전달에 여전히 사용하는 신호 프로토콜의 수십 년 된 취약점인 SS7 취약점에도 노출되어 있습니다. SS7 취약점을 이용하면 공격자는 피해자의 장치나 통신사 계정에 액세스하지 않고도 네트워크 수준에서 SMS 메시지를 가로채거나 리디렉션할 수 있습니다. SS7 기반 공격은 SIM 스와프 공격보다 탐지하기가 더 어려울 수 있습니다.
인증 앱은 로그인 시 사용자 ID를 검증하기 위해 일회용 비밀번호(OTP)를 사용합니다. OTP는 전화 네트워크를 통해 전송되는 대신 사용자 장치에서 로컬 생성되기 때문에 전송 과정에서 가로채기가 더 어렵습니다. 하지만 여전히 중간자 공격(MitM)에 취약할 수 있으며 이 공격에서는 사이버 범죄자가 사용자와 정상 서비스 사이에 몰래 위치해 자격 증명을 실시간으로 가로채고 전달합니다.
MitM 공격은 위협 행위자가 피해자와 실제 로그인 페이지 사이에 프록시 서버를 구축하면서 발생합니다. 피해자는 피싱 공격 링크를 클릭한 뒤 실제 로그인 페이지처럼 보이는 화면에 접속하게 되는데 이는 실제 페이지가 공격자의 프록시를 통해 중계되고 있기 때문입니다. 피해자는 사용자 이름, 비밀번호 및 OTP를 입력합니다. 프록시는 모든 정보를 정상 서비스에 전달하고 서비스는 코드를 검증한 뒤 세션 토큰을 반환합니다. 프록시는 해당 토큰을 가로채 공격자에게 전달합니다. 일회용 비밀번호 자체는 유효했지만 잘못된 사람이 잘못된 사이트를 통해 사용한 것입니다.
이 전체 과정을 자동화하는 피싱 키트와 대량의 탈취된 자격 증명은 현재 다크웹에서 서비스 형태로 판매되고 있습니다. 사이버 범죄자는 더 이상 직접 툴을 만들 필요가 없습니다. 기업이 소프트웨어를 구매하듯 사용자 계정 및 민감한 데이터에 대한 액세스를 구매할 수 있습니다.
푸시 알림은 사용자가 코드를 입력하는 대신 휴대전화에서 "승인" 버튼을 누를 수 있도록 함으로써 인증 프로세스를 간소화할 수 있습니다. 하지만 이러한 단순성은 푸시 알림 폭탄 공격이라고 알려진 취약점을 만들 수 있습니다.
이 공격은 다음과 같은 방식으로 이루어집니다. 이미 탈취한 자격 증명을 가진 사이버 범죄자가 승인 요청을 반복적으로 전송하며 때로는 한 시간 이상 계속하기도 합니다. 피해자는 이러한 알림을 멈추기 위해 또는 실제 요청이라고 믿고 "승인"을 누르게 되며 결과적으로 공격자에게 계정 액세스 권한을 제공하게 됩니다.
사회공학 기법은 이러한 공격을 더욱 강화할 수 있습니다. 해커는 WhatsApp 또는 Teams를 통해 IT 보안팀을 사칭한 메시지를 보내 피해자 계정에서 비정상 로그인 시도가 감지되었다고 경고하며 알림 승인을 요청할 수 있습니다.
생성형 AI는 이러한 사이버 위협을 더욱 식별하기 어렵게 만들고 있습니다. 공격자는 이제 실제 진행 중인 프로젝트를 언급하고 회사 IT 알림 스타일을 모방하며 대상 사용자의 언어 습관에 맞춘 메시지를 작성할 수 있습니다. 몇 년 전만 해도 고도의 인간 작업이 필요했던 기능들이 이제는 자동화되고 간소화될 수 있게 되었습니다.
기존 MFA와 피싱 저항형 MFA의 핵심 차이는 네트워크를 통해 무엇이 전달되는가에 있습니다. 기존 인증 방식은 공유 비밀 값인 코드를 사용자로부터 서버로 전송합니다. 이 코드를 가로채거나 중계할 수 있는 사람은 누구나 이를 사용할 수 있습니다. 피싱 저항형 인증은 이러한 공유 비밀 값 자체를 완전히 제거합니다.
대신 인증 프로세스는 공개 키 암호화를 기반으로 한 챌린지-응답 프로토콜을 사용합니다. 사용자 장치는 외부로 절대 유출되지 않는 개인 키를 보관합니다. 서비스는 이에 대응하는 공개 키를 보관합니다. 사용자가 로그인하면 서비스는 임의의 챌린지를 전송합니다. 장치는 개인 키를 사용해 해당 챌린지에 서명합니다. 서비스는 공개 키를 사용해 서명을 검증합니다. 서명이 일치하면 사용자는 인증되며 이 과정에는 공격자가 탈취하거나 재사용할 수 있는 정보가 존재하지 않습니다.
대표적인 방식으로는 FIDO2와 PKI 기반 인증서 인증이 있습니다. 두 방식 모두 공개 키 암호화를 사용하지만 구현 방식과 일반적으로 배포되는 환경은 서로 다릅니다. 즉 암호화 기술이 핵심 방식이며 FIDO2와 PKI는 조직이 이를 구현하는 가장 일반적인 두 가지 방법입니다.
인증 수단은 사용자가 상호작용하는 물리적 또는 소프트웨어 기반 토큰으로 방식에 따라 다양한 형태로 제공됩니다. FIDO2에서는 보안 키와 패스키가 일반적으로 사용되며 PKI 기반 인증서 인증에서는 스마트 카드가 일반적으로 사용됩니다.
FIDO2는 FIDO Alliance 와 월드 와이드 웹 컨소시엄(W3C)이 유지 관리하는 개방형 인증 표준 집합입니다.
FIDO2는 두 가지 프로토콜로 구성됩니다. 하나는 웹사이트가 암호화 인증을 요청할 때 사용하는 브라우저 API인 WebAuthn이고 다른 하나는 외부 인증 수단이 브라우저 및 운영 체제와 통신할 수 있도록 하는 CTAP(Client to Authenticator Protocol)입니다.
사용자가 FIDO2 지원 서비스에 등록하면 인증 수단이 키 쌍을 생성합니다. 개인 키는 인증 수단 내부에 유지됩니다. 공개 키는 서비스에 전달됩니다. 또한 이 키 쌍은 "login.example.com"과 같은 서비스의 특정 도메인(오리진)에 연결됩니다.
사용자가 로그인을 시도하면 브라우저는 사이트 도메인을 등록된 오리진과 비교합니다. "login.example.com"에서는 도메인이 일치하므로 인증 수단이 응답합니다.
"login-example.com"에서는 사람을 속이기에는 충분히 비슷해 보일 수 있지만 일치하지 않기 때문에 인증 수단은 응답하지 않습니다. 최종 사용자는 URL이 정상인지 직접 판단할 필요가 없습니다. FIDO 인증 프로토콜이 이를 자동으로 처리합니다.
공개 키 기반 구조(PKI)는 신뢰할 수 있는 인증 기관이 발급한 디지털 인증서를 사용합니다. 인증 프로세스는 FIDO2와 동일한 챌린지-응답 방식을 따릅니다. 즉 서비스가 챌린지를 전송하고 물리적 장치가 서명한 뒤 서비스가 해당 서명을 검증합니다. 이 과정에서는 어떤 비밀 값도 네트워크를 통해 전송되지 않습니다.
PKI 기반 인증은 수십 년 동안 연방 정부 및 국방 분야의 표준으로 사용되어 왔습니다. 스마트 카드는 자격 증명을 저장하는 내장 칩이 포함된 물리 카드로 카드 리더기에 삽입하거나 접촉하면 사용자를 인증하며 엄격한 ID 보증 요구 사항을 충족합니다.
스마트 카드가 가장 일반적인 PKI 인증 수단이지만 유일한 방식은 아닙니다. PKI 인증서는 USB 토큰에 저장하거나 소프트웨어를 통해 관리할 수도 있습니다. 정부 및 기업 환경에서는 스마트 카드가 개인 키에 대한 하드웨어 수준 보호를 제공하기 때문에 일반적으로 선호됩니다.
헬스케어, 금융 서비스 및 법률 서비스처럼 기존 온프레미스 인프라와 엄격한 규제 요구 사항을 가진 다른 산업에서도 같은 이유로 스마트 카드를 자주 사용합니다.
처음부터 환경을 구축하는 조직의 경우 운영 부담이 훨씬 적기 때문에 일반적으로 FIDO2가 선호됩니다.
인증 수단은 사용자가 인증 프로세스를 완료하기 위해 상호작용하는 물리 장치 또는 소프트웨어 메커니즘이며 다시 말해 FIDO2 및 PKI 표준의 실제 구현 방식입니다.
적절한 형태는 위험 수준, 기존 인프라 및 조직이 수용할 수 있는 사용자 경험상의 절충 사항에 따라 달라집니다. 많은 대규모 조직은 결국 두 가지 이상의 방식을 함께 사용하게 됩니다.
가장 일반적인 인증 수단 유형은 다음과 같습니다.
하드웨어 보안 키는 YubiKey 또는 Google Titan Key와 같은 물리 장치로 변조 방지 하드웨어 내부에 암호화 키를 저장합니다. 이러한 장치는 USB 또는 근거리 무선 통신(NFC)을 통해 연결되며 예를 들어 키 포브를 휴대전화에 접촉하거나 비접촉식 카드를 리더기에 대는 방식으로 사용할 수 있습니다.
개인 키는 보안 키의 변조 방지 칩 내부에서 생성되며 인증 과정에서도 외부로 내보내지지 않기 때문에 공격자가 이를 탈취하려면 해당 장치를 실제로 확보해야 합니다. 원격 공격은 사실상 불가능합니다. 운영상의 부담은 배포에 있습니다. 조직은 이러한 장치를 배송하고 자산으로 관리하며 필요 시 교체해야 합니다. 시스템 관리자나 프로덕션 액세스 권한이 있는 개발자와 같은 고위험 역할의 경우 이러한 비용은 충분히 감수할 만한 가치가 있을 수 있습니다.
플랫폼 인증 수단은 지문 인식기 또는 얼굴 인식 카메라와 같이 노트북 및 모바일 장치에 내장된 생체 인식 센서와 보안 하드웨어를 사용합니다.
개인 키는 장치의 보안 영역 또는 신뢰 플랫폼 모듈(TPM)에 저장되므로 별도의 하드웨어를 휴대할 필요가 없습니다. 사용자는 지문, 얼굴 인식 또는 장치 PIN을 통해 로컬에서 자신의 ID를 검증해야 합니다. 로컬 검증은 암호화 프로세스를 대체하는 것이 아니라 개인 키 사용을 허용하는 역할을 하며 이후 개인 키가 인증 챌린지에 서명합니다.
플랫폼 인증의 한계는 인증이 키를 보유한 특정 장치에 종속된다는 점입니다.
패스키는 사용자 장치에 기본적으로 저장되는 암호화 자격 증명으로 비밀번호를 완전히 대체합니다. 다른 FIDO2 인증 수단과 마찬가지로 장치를 벗어나지 않는 개인 키를 사용해 인증 챌린지에 서명하며 사용자는 생체 인식 또는 장치 PIN을 통해 자신의 ID를 검증합니다.
패스키는 하드웨어 보안 키와 달리 Apple, Google 또는 Microsoft와 같은 클라우드 공급자를 통해 여러 모바일 장치 간 자격 증명을 동기화할 수 있습니다. 사용자가 휴대전화에 패스키를 등록한 경우 두 장치가 동일한 계정에 로그인되어 있다면 노트북에서도 인증할 수 있습니다.
비밀번호 없는 인증 경험은 다른 어떤 피싱 저항형 방식보다도 간편하며 기억하거나 재설정하거나 피싱 공격으로 탈취될 비밀번호 자체가 존재하지 않습니다. 다만 플랫폼 종속성이 있다는 점은 고려해야 합니다. 패스키는 서로 다른 에코시스템 간에 항상 쉽게 이동할 수 있는 것은 아닙니다.
PIV, CAC 및 유사한 PKI 기반 카드는 PKI 환경에서 사용되는 대표적인 인증 수단 유형입니다. 이 카드는 휴대 가능한 형태로 개인 키를 위한 변조 방지 하드웨어 저장소를 제공합니다. 또한 PIV 및 CAC 카드 관련 연방 정부 요구 사항은 수십 년에 걸쳐 관련 인프라를 구축해 왔습니다.
스마트 카드를 사용하려면 각 워크스테이션에 카드 리더기와 미들웨어가 필요하며 백엔드 인증서 관리 인프라도 함께 구축되어야 합니다.
스마트 카드는 FIDO2보다 운영 부담이 크지만 기술 자체는 성숙해 있으며 정부 및 규제가 엄격한 산업 환경에 깊이 자리 잡고 있습니다.
피싱 저항형 MFA는 탈취된 자격 증명을 무용지물로 만듦으로써 피싱 및 자격 증명 탈취 문제를 근본적으로 해결하며 동시에 보다 광범위한 사이버 보안 및 규정 준수 목표도 지원합니다.
피싱 저항형 MFA의 주요 이점은 다음과 같습니다.
피싱 저항형 인증은 기존 MFA 솔루션이 보안 수단으로 점점 부족해지게 만든 유형의 공격을 제거하는 데 도움을 줍니다.
가로챌 SMS 코드가 존재하지 않기 때문에 SIM 스와프 공격은 통하지 않습니다. 중계할 OTP가 존재하지 않기 때문에 중간자 공격도 통하지 않습니다. 조작할 승인 요청 자체가 없기 때문에 푸시 폭탄 공격도 효과가 없습니다.
사이버 범죄자가 사용자 비밀번호를 획득하더라도 개인 키를 보관한 물리 장치가 없으면 계정이나 민감한 데이터에 액세스할 수 없습니다.
제로 트러스트는 어떤 사용자나 장치도 암묵적으로 신뢰해서는 안 된다는 가정에 기반하며 모든 액세스 제어 결정은 검증 과정을 거칩니다. 하지만 설득력 있는 이메일과 위조 로그인 페이지만으로 검증 메커니즘 자체가 무력화될 수 있다면 이 모델은 무너지게 됩니다.
피싱 저항형 MFA는 이러한 공백을 줄여 제로 트러스트에 필요한 지속적인 검증을 가능하게 합니다.
CISA는 피싱 저항형 MFA를 인증의 "골드 스탠더드"라고 부르며 많은 규제 기관과 표준 기구도 이러한 입장을 공식화하고 있습니다.
2025년에 최종 확정된 NIST 특별 간행물 800-63-4는 인증자 보증 수준 3에서 피싱 저항형 인증을 의무화하며 높은 수준의 보증이 필요한 사용 사례에 대해 하드웨어에 연결된 내보낼 수 없는 개인 키를 요구합니다.
미국 관리예산처(OMB)의 M-22-09 메모랜덤은 현재 연방 정부 기관이 직원, 계약업체 및 파트너를 대상으로 피싱 저항형 MFA를 배포하도록 요구하고 있습니다.
정부 요구 사항을 넘어 이제 조직들은 MFA 도입 여부뿐 아니라 MFA의 품질 자체도 점점 더 중요하게 평가하고 있습니다. PCI DSS와 같은 프로그램은 피싱 저항형 MFA를 명시적으로 정의하고 있으며 많은 사이버 보험사는 현재 보험 인수 심사 과정에서 MFA의 강도를 확인하고 있습니다.
피싱 저항형 MFA는 인증 절차를 더 복잡하게 만드는 것처럼 들릴 수 있습니다. 하지만 실제로는 패스키와 플랫폼 인증 수단이 오히려 인증 절차를 간소화하는 경우가 많습니다. 지문 인식기를 터치하는 것은 모바일 앱을 열고 6자리 OTP를 복사해 만료되기 전에 입력하는 것보다 더 빠른 경우가 많습니다.
패스키 또는 보안 키가 비밀번호를 완전히 대체하는 비밀번호 없는 인증은 이러한 편의성을 더욱 높일 수 있습니다. 즉 잊어버리거나 재설정하거나 피싱 페이지에 입력할 비밀번호 자체가 존재하지 않습니다. 최종 사용자가 잃게 되는 것은 비밀번호뿐입니다. 대신 더 빠르고 더 안전한 인증 경험을 얻게 됩니다.
피싱 저항형 MFA는 단독으로 운영되는 경우가 거의 없습니다. 일반적으로 여러 지원 계층이 포함된 보다 광범위한 ID 및 액세스 관리(IAM) 아키텍처 안에서 운영됩니다.
조건부 액세스 정책은 인증 결정에 컨텍스트 요소를 추가합니다. 이러한 정책은 모든 로그인을 동일하게 처리하는 대신 장치 상태, 네트워크 위치 및 사용자 행동 패턴과 같은 신호를 평가해 요구 사항을 조정합니다.
예를 들어 기업 네트워크 내의 관리 장치에서 로그인하는 직원은 패스키 한 번의 터치만으로 인증할 수 있습니다. 반면 동일한 직원이 새로운 국가의 익숙하지 않은 장치에서 접속할 경우 추가 검증 절차를 거쳐야 할 수 있습니다.
방어 측면에서는 엔드포인트 탐지 및 대응(EDR)이 MFA 범위를 벗어나는 위협을 탐지합니다. 피싱 저항형 MFA는 로그인 페이지에서 자격 증명 탈취를 막는 데 도움을 주지만 침해된 장치에 설치된 정보 탈취형 멀웨어는 여전히 세션 토큰, 캐시된 자격 증명 및 기타 민감한 정보를 수집할 수 있습니다.
위협 인텔리전스 피드는 악성 URL, 위조 도메인 및 알려진 명령·제어 서버와 같은 피싱 인프라를 식별함으로써 사용자가 가짜 로그인 페이지에 도달하기 전에 이를 차단하며 이러한 보안 계층을 보완합니다.