마이크로소프트 다중인증, 탈취 계정에는 무력화

MFA 우회 공격 상용화로 제로트러스트 패러다임 전환 촉발

• 보안 연구 커뮤니티에서 공개한 분석 결과에 따르면 해킹 그룹이 이미 탈취한 사용자 계정과 비밀번호를 보유한 경우 다중인증(MFA)이 효과적인 방어 수단이 되지 못하고 있으며, 이는 기존 ‘무언가 소유’ 기반 인증 체계의 근본적 한계를 드러냅니다.
• 공격자가 이미 계정 접근권을 획득한 상태에서는 MFA 알림 자체가 인증 수단이 되고, 사용자의 피로도를 악용한 MFA 피싱(‘MFA fatigue attack’)이 성공률을 높이고 있어 인증 방식 자체의 신뢰도가 하락하고 있습니다.
• 이는 마이크로소프트가 주도하고 있는 ‘제로트러스트’ 아키텍처로의 산업 전환을 가속화시키는 계기로 작용하며, 기존의 ‘경계 기반 보안’에서 ‘거동 분석 기반 보안’으로의 패러다임 전환을 강제하고 있습니다.
• 비밀번호와 MFA만으로는 충분하지 않다는 인식이 글로벌 IT 업계에 확산되면서, 생체 인증, 암호화 키 기반 인증, AI 거동 분석 등 다층 보안 기술의 통합이 새로운 업계 표준으로 부상하고 있습니다.

MFA의 무력화는 기존 인증 개념 자체의 재검토를 촉구합니다. 정부는 기업의 제로트러스트 도입을 가속화하기 위해 거동 분석 기술 표준화, 암호화 키 기반 인증 지원 정책, 클라우드 기반 고급 인증 서비스 도입 의무화를 검토해야 합니다.

출처: BleepingComputer