핵심 요약
- 이메일 기반 신원 공격이 익스플로잇 기반 침투를 제치고 랜섬웨어 침투의 1위 원인으로 등극했다.
- 자격 증명 기반 공격의 97%에서 다중 인증이 배포되어 있었음에도 침해는 차단되지 않은 것으로 나타났다.
- MFA 피로, AiTM 피싱, 세션 토큰 탈취 등 우회 기법의 확산으로 피싱 내성 인증 체계로의 전환이 필수 과제로 부상했다.
인증은 이제 사용자의 신원을 확인하는 단계를 넘어, 세션 전 과정에서 피싱과 토큰 탈취를 견딜 수 있도록 패러다임이 재설계되어야 한다.
2026년 7월 15일 Dark Reading이 보도한 내용에 따르면, 랜섬웨어 침투의 주된 경로가 전통적인 익스플로잇에서 이메일 기반 신원 공격으로 이동했다. 자격 증명 탈취와 다중 인증 우회가 결합되면서, 다층 보안에 대한 통념은 근본적 재검토가 요구되는 시점에 도달했다.
1. 랜섬웨어 침투 경로의 지각 변동: 익스플로잇에서 신원 공격으로
1.1 통계로 보는 신원 공격의 부상
업계 보고서에 따르면 지난 1년간 이메일로 인한 신원 공격이 랜섬웨어 침투 원인 1위로 기록되었다. 익스플로잇이 수년간 유지해 온 1위 자리를 신원 공격이 추월한 것으로 분석된다. 또한 자격 증명 기반 공격 사례의 97%에서 다중 인증이 이미 배포되어 있었음에도 침해가 발생했다. 이는 인증 요소의 수적 증가만으로는 신원 공격을 차단하기 어렵다는 점을 시사한다.
1.2 익스플로잇 기반 침투 대비 신원 기반 침투의 차이
익스플로잇은 취약점 패치와 가상 패치로 방어가 가능하지만, 신원 공격은 정상 권한을 악용하므로 침해 징후 탐지가 어렵다. 정상 로그인의 외형을 갖기 때문에 트래픽 기반 탐지 시스템과 EDR의 탐지 효율이 현저히 떨어지는 것으로 보고된다.
2. 다중 인증이 무력화되는 이유: 4가지 우회 시나리오 해부
2.1 AiTM 피싱과 세션 토큰 탈취의 결합
2.1.1 실시간 중계 피싱의 기술적 작동 흐름
AiTM(Adversary-in-the-Middle) 피싱은 정상 도메인과 유사한 위장 로그인 페이지를 통해 사용자가 입력한 자격 증명과 인증 코드를 실시간으로 중계한다. 피싱 키트인 Evilginx2와 Muraena 등이 공개 도구로 활용되며, 공격자는 실시간으로 사용자 인증 세션에 개입한다.
2.1.2 탈취된 토큰의 재사용과 세션 하이재킹
인증 완료 후 발급되는 세션 쿠키를 탈취하면 이후 다중 인증을 다시 거치지 않고도 동일 권한을 행사할 수 있다. 토큰 유효 기간이 만료될 때까지 공격자는 정당한 사용자로 위장해 접근하므로, 토큰 바인딩과 디바이스 신뢰 검증이 미흡한 환경에서는 침해가 장기화될 수 있다.
2.2 MFA 피로 공격과 푸시 알림 악용
2.2.1 사용자 피로도를 노린 알림 스팸 전략
MFA 피로(MFA Fatigue) 또는 푸시 폭탄은 이미 탈취한 자격 증명으로 반복적인 인증 요청을 발송해 사용자가 무심코 승인하도록 유도한다. 야간과 회의 시간대에 집중 발송될 경우 사용자의 피로도와 업무 방해 회피 심리가 결합되어 승인률이 크게 상승하는 것으로 보인다.
2.2.2 소셜 엔지니어링과 결합된 권한 상승
단순 알림 스팸에 IT 지원팀 사칭 전화나 메시지가 결합되면 1차 승인 후 추가 권한 상승까지 이루어지는 사례가 보고된다. 사용자 본인의 자발적 승인이므로 기술적 통제만으로는 차단이 어렵다는 한계가 존재한다.
2.3 단일 인증 요소 의존의 구조적 취약점
2.3.1 SMS OTP와 이메일 링크의 한계
SMS와 이메일 기반 OTP는 SIM 스와핑, SS7 프로토콜 취약점, 이메일 계정 탈취를 통해 우회될 수 있다. 통신사 약한 인증 절차와 이메일 함정 규칙 미흡이 결합될 경우 OTP 자체가 무력화된다.
2.3.2 생체 인증 단독 사용의 위험성
생체 정보는 변경이 불가능하므로 유출 시 영구적 위험이 된다. 디바이스 단독 저장 방식의 생체 인증은 디바이스 탈취 시 우회 가능성이 있으며, 서버 저장 방식은 대규모 데이터 유출 시 심각한 2차 피해를 유발한다.
3. 기업이 직면한 현실적 함정: 인식 격차와 운영 부담
3.1 보안 인식 부족이 만드는 인적 취약점
피싱 인식 훈련이 단순 클릭 테스트에 머무르면 사용자는 실제 공격에서 무력해질 가능성이 높다. 다중 인증 도입 자체가 완료되었다는 안심감이 오히려 경계심을 약화시키는 역효과를 발생시키는 것으로 분석된다.
3.2 레거시 시스템과 클라우드 인증의 공존 문제
다수의 기업이 온프레미스 레거시 애플리케이션과 클라우드 서비스를 동시에 운영하면서 인증 체계가 분절되어 있다. 통합 SSO가 부분적으로만 적용될수록 사용자 계정과 권한 거버넌스의 사각지대가 확대된다.
4. 전망 및 제언: 피싱 내성 인증 체계로의 전환
4.1 FIDO2/WebAuthn 기반 패스키 도입
FIDO2와 WebAuthn 표준 기반의 패스키는 도메인 바인딩과 서명 기반 인증으로 피싱 시나리오에서 토큰 재사용을 원천 차단한다. 디바이스 내 보관된 개인 키가 사용자 인증 정보와 결합되므로 중간자 공격이 구조적으로 무의미해진다.
4.2 조건부 접근과 위험 기반 인증의 결합
단일 인증 요소의 강도를 강화하는 동시에, 디바이스 신뢰도, 위치, 행동 패턴을 결합한 위험 기반 신호가 세션 단계에서 지속적으로 평가되어야 한다. 토큰 재발급 시점에도 디바이스 핑거프린트 검증이 추가되는 것이 권장된다.
4.3 통합 ID 거버넌스와 권한 최소화 원칙
정기적 권한 검토와 JIT(Just-In-Time) 권한 상승, 권한 만료 정책을 통해 침해 발생 시 폭발 반경을 축소해야 한다. 계정 lifecycle 관리와 접근 권한 시각화는 신원 공격 시대의 필수 통제로 자리잡고 있다.
5. 정리: 인증 패리티제의 시대
5.1 단기 즉시 적용 항목과 중장기 과제
단기적으로는 푸시 알림 기반 MFA를 숫자 매칭 방식으로 강화하고, AiTM 탐지 규칙과 세션 바인딩 정책을 적용해야 한다. 중장기적으로는 FIDO2 패스키 전면 도입, 위험 기반 인증 고도화, 통합 ID 거버넌스 체계 구축이 추진되어야 할 것으로 보인다. 인증은 이제 요소의 수가 아니라 세션 전 구간에 걸친 신뢰 검증의 질적 수준으로 평가되는 패러다임으로 이동하고 있다.
핵심 포인트 정리
- 신원 공격이 익스플로잇을 제치고 랜섬웨어 침투의 1위 원인으로 등극했다.
- 97%의 자격 증명 공격에서 MFA가 적용되었음에도 침해가 발생한 사실은 인증 전략의 근본적 전환을 요구한다.
- AiTM 피싱, MFA 피로, 세션 토큰 탈취 등 우회 기법의 확산으로 피싱 내성 인증 체계로의 전환이 필수적이다.
- FIDO2 패스키, 위험 기반 인증, 통합 ID 거버넌스를 결합한 다층적 인증 체계가 새로운 표준으로 자리잡아야 한다.
참고 출처: Dark Reading – Identity Attacks Overtake Exploits as Top Ransomware Cause · BleepingComputer – Zoom Account Takeover Vulnerability