MFA 프롬프트 폭탄, 계정 보안을 무력화하는 새 침투법 부상

MFA Prompt Bombing이 2차 인증을 반복적으로 밀어붙여 사용자의 승인 피로를 유도하는 방식으로 계정 탈취의 효율을 높이고 있다.

• The Hacker News는 MFA Prompt Bombing이 왜 두 번째 인증수단을 지켜주지 못하는지 설명하며, 공격자가 수십 회 이상의 승인 요청을 보내 사용자를 지치게 만든 뒤 실수로 허가를 받는 방식을 다뤘다. 이는 다중인증이 충분조건이 아니라 사용자 행태와 운영정책까지 함께 관리해야 하는 수단임을 보여준다.
• 이 공격은 Microsoft 365, 기업 SSO, 모바일 인증 앱 전반에 적용될 수 있어, 특정 제품 문제가 아니라 인증 생태계 전체의 설계 문제이다. 한국 정부는 공공기관 인증 정책에서 단순 MFA 의무화만이 아니라, 번호 일치 방식, 피싱 저항성, 관리자 승인 프로세스를 함께 점검해야 한다.
• 기사 제목에서 직접 확인되는 정량 요소는 MFA Prompt Bombing이라는 공격기법 명칭 자체다. 정량 수치는 기사 본문에 제한되지만, 핵심은 인증 요청의 빈도와 반복성이 곧 공격 성공률을 좌우한다는 점이며, 따라서 경보 차단과 이상행동 탐지가 중요하다.
• 전략적으로는 이 수법이 피싱 산업의 자동화 수준을 한 단계 높인다는 데 의미가 있다. 한국은 공공·민간 인증체계에서 단순 OTP보다 피싱 저항형 인증과 사용자 교육을 결합하고, 비정상 승인 폭주를 자동 차단하는 정책을 도입해야 한다.

다중인증은 끝이 아니라 출발점이다. 한국 정부는 반복 승인 요청을 이상행위로 분류해 자동 잠금하는 정책과, 피싱 저항형 인증 도입을 병행해야 한다.

주요 용어: 다중인증(MFA, 둘 이상의 인증 수단을 쓰는 방식), 승인 피로(반복 요청으로 인한 사용자의 판단력 저하), 피싱 저항형 인증(가짜 사이트에 속기 어려운 인증 방식)

출처: The Hacker News