크리덴셜 스터핑을 통해 계정 탈취 사기를 시도하는 범죄자에게 다단계 인증(MFA)은 장애물이 되지만, 공격자들은 MFA를 우회하는 방법을 찾아냈습니다. 이는 MFA만으로는 계정 탈취 위협을 완전히 차단할 수 없다는 의미입니다. 기업은 봇 공격 완화와 상황별 위험 모니터링을 비롯한 추가 조치를 통해 MFA 보안을 강화해야 합니다.
MFA에는 약점이 있지만, 비밀번호만 사용하는 인증 방식이 명백히 실패했다는 점에서 상당한 진전이라 할 수 있습니다. 사람은 긴 문자열을 기억하기가 매우 어렵기 때문에 단순하고 예측하기 쉬운 비밀번호를 선택하거나 여러 애플리케이션에서 같은 비밀번호를 재사용하는 등 편법을 쓰게 되며, 이러한 관행은 수많은 보안 침해로 이어졌습니다.
하지만 비밀번호 인증의 실패와 MFA 도입이 맞물리면서 다음과 같은 MFA 대상 공격이 증가하고 있습니다:
실시간 피싱 프록시
실시간 피싱 프록시(RTPP) 공격에서 사기범은 피싱 메시지를 이용해 사용자가 신뢰할 수 있는 사이트처럼 보이는 공격자 제어 사이트를 방문하도록 속이고, 자격 증명을 입력한 뒤 SMS 메시지나 푸시 알림으로 전송되는 2차 인증 요청을 승인하도록 유도합니다. RTPP는 자격 증명을 대상 앱으로 전달해 액세스 권한을 얻습니다. 공격 시연은 해커이자 보안 컨설턴트인 Kevin Mitnick의 이 동영상에서 확인할 수 있으며, 실시간 피싱 프록시의 증가 배경에 대해서는 F5 Labs 피싱 및 사기 보고서를 참조하세요.
MFA 폭탄 공격
In MFA 폭격 공격에서 공격자는 인증 코드를 요구하는 허위 요청을 여러 차례 보내 표적이 인증 코드를 넘겨주도록 속입니다. 이 수법은 푸시 알림을 사용하는 인증 앱에 특히 효과적입니다. 사용자가 버튼 하나만 누르면 쏟아지는 요청을 손쉽게 멈출 수 있기 때문입니다. 공격자는 사용자가 푸시 알림을 수락해 접근 권한을 부여하도록 유도하기 위해 MFA 폭격과 사회 공학을 함께 사용하기도 합니다.
생체 인식 위조
공격자들은 생체 인증마저 우회해 왔습니다. 우리는 손이 닿는 거의 모든 매끄러운 표면 곳곳에 지문을 남기며, 공격자는 이를 수집해 3D 프린터부터 젤리곰 재료에 이르기까지 다양한 수단으로 복제할 수 있습니다. 보안 연구자들은 얼굴 및 음성 인식뿐만 아니라 홍채 스캔도 위조할 수 있음을 입증했습니다. 공급업체들은 우회 시도를 탐지하기 위해 생체 여부 확인과 같은 위조 방지 기술을 개발해 왔지만, 공격 기법이 발전함에 따라 어떤 생체 인식 장치든 취약해질 수 있습니다.
SIM 스와핑
SIM 스와핑은 사기범이 서비스 제공업체에서 전화번호를 다른 기기로 이전할 수 있는 기능을 악용하는 수법입니다. 사기범은 피해자의 개인정보를 수집한 다음, 고객 지원 담당자를 사회공학적으로 속여 피해자의 전화번호를 사기범의 SIM으로 이전하게 합니다. 피해자의 이동통신 서비스를 장악한 사기범은 사용자에게 전송된 문자 메시지를 대신 수신하여 일회용 비밀번호(OTP)를 가로채고 MFA를 우회할 수 있습니다.
MFA 보안 강화
MFA는 비밀번호만 사용하는 인증 방식보다 크게 개선된 방식으로 앞으로도 계속 사용될 것이므로, 사이버 보안 실무자들은 MFA의 취약점을 해결해야 합니다.
봇을 완화하는 것부터 시작하는 것이 좋습니다. 공격자는 비밀번호 재사용을 악용해 봇으로 도난당한 자격 증명을 로그인 페이지에서 시험합니다. OWASP는 이 기법을 크리덴셜 스터핑, 즉 자격 증명 대입 공격이라고 정의하며, 공격자는 이를 통해 MFA의 첫 번째 인증 단계를 통과합니다. 또한 공격자는 RTPP 공격에서 봇을 사용해 OTP가 만료되기 전에 대상 사이트로 전달합니다. 이와 마찬가지로 MFA 폭격도 봇에 의존하는 자동화 공격입니다. 보안팀은 효과적인 봇 관리 솔루션을 통해 공격자가 MFA 우회 기법을 대규모로 실행할 때 의존하는 핵심 도구를 무력화할 수 있습니다.
MFA의 취약성을 완화하는 또 다른 방법은 상황별 위험을 고려하는 것입니다. 상황별 위험은 사용자의 IP 주소, ISP, 위치, 시간대, 기기, 액세스한 기능 및 행동을 바탕으로 판단할 수 있으며, 이러한 요소를 활용해 사용자가 애플리케이션을 이용하는 동안 위험 점수를 산정할 수 있습니다. 점수가 높을수록 인증 요건이 더욱 엄격해지며, 최종적으로 계정이 비활성화될 수도 있습니다.
다음 단계
앞으로도 비밀번호의 종말을 선언하는 주장이 더 많이 나오고, 새로운 MFA 기술이 인증 보안을 완벽하게 해결해 줄 것이라는 과장된 기대도 커질 것입니다. 하지만 집요한 공격자는 새로운 구현을 우회할 방법을 계속 찾아낼 것이므로, MFA의 취약점을 지속적으로 분석하고 완화해야 합니다. MFA가 계정 탈취를 방지하기 위한 첫 단계에 불과한 이유를 더 심층적으로 알아보려면 새로운 F5 백서를 참조하세요. F5와 협력하면 고객 경험을 최적화하는 동시에 MFA를 안전하게 보호할 수 있습니다. F5 Distributed Cloud Services에 대해 자세히 알아보고 신청하여 저희 팀과 상담하세요.
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.