“비밀번호 기반 인증 노린 공격 급증··· '패스워드리스'에 대한 오해 잔존”

“2022년 비밀번호 기반 인증 시스템을 노린 공격이 증가했다. 12개월 내에 인증 관련 공격을 받은 경험이 있는 응답자의 60%는 패스워드리스 시스템으로 인해 공격을 피할 수 있다고 응답했다.”

패스워드리스 다단계 인증(MFA) 벤더 HYPR이 벤슨 본에 의뢰한 연구에서 도출된 결과다. 이번 연구는 전 세계 50명 이상의 직원을 보유한 조직의 IT 전문가 1,000명을 대상으로 조사했다. 미국(300명), 영국(250명), 프랑스(100명), 독일(100명), 중국(100명), 호주(75명), 일본(75명) 등의 지역을 대상으로 했다. 


윈도우 10의 패스워드리스 사인 인(Sign in)

MFA 폭탄(MFA bombing) 공격의 급증
연구에 따르면 응답자 5명 중 3명은 2022년에 소속 조직이 인증 관련 공격을 경험했다고 답했다. 또 지난 12개월 동안 한 번 이상의 사이버 공격을 받은 응답자 88% 중 43%는 피싱 또는 스미싱이 주요 공격 형태였다고 응답했다. 

푸시 알림 공격(MFA bombing)이 전체 공격의 28%를 차지했다. 사용자에게 디바이스 액세스에 대한 푸시 알림을 여러 번 보내는 이러한 공격은 2021년과 2020년에 각각 12%와 9%에 불과했던 바 있다. 

이번 연구와 무관한 컨설팅 기업 EMA(Enterprise Management Associates)의 리서치 디렉터인 스티브 브래슨은 "많은 기업들이 비밀번호 기반의 1차 인증과 OTP 또는 푸시 알림 기반의 2차 인증이라는 이중 인증을 사용하곤 했다. 두 번째 인증은 해커들에게 다소 까다로울 수 있다. 이로 인해 공격자 일부는 휴대폰에 2차 인증 요청을 반복적으로 보내 사용자를 괴롭혔다”라고 전했다. 

그에 따르면 이러한 공격 기법은 일부 유효했다. 기본적으로 비밀번호 시스템에 대한 의존성이 높고 쉽게 속아넘어가는 사용자들이 있기 때문이었다.

조사에 따르면 대부분의 조직은 여전히 사용자 이름과 비밀번호(57%), TFA/MFA(54%), 비밀번호 관리자(49%), 싱글 사인온(43%)과 같은 여러 레거시 인증 방법을 사용하고 있었다. 패스워드리스 인증을 사용하는 비율은 28%에 그쳤다. 

이 밖에 응답자의 5분의 1은 작년에 인증 관련 보안 침해를 두 번 이상 경험했다고 답했다. 인증 관련 유출 사고로 인한 평균 비용은 295만 달러로 보고됐다. 

선명해지는 레거시 인증의 한계
대부분의 응답자(87%)는 조직의 인증 방식이 대체로 안전하다고 믿고 있었다. 이는 업계 표준에 대한 무지에 뿌리를 두고 있다고 브래슨은 지적했다. 그는 “많은 조직이 기존의 비밀번호 기반 인증 도구 위에 OTP 또는 푸시 알림 솔루션을 계층화하여 인증 보안 문제를 해결하려 했다. 저렴하면서도 쉬운 방법이었기 때문이다”라고 말했다. 

레거시 인증 시스템의 한계는 이번 설문 결과에서도 일부 확인됐다. 응답자들은 레거시 인증 방식의 관리 및 제어 측면의 한계로 원격 근무자를 안전하게 인증하기 어려움(36%), 관리되지 않는 타사 디바이스(35%), 배포를 위한 기술 복잡성(34%), 도입에 대한 직원들의 저항(31%), 비밀번호/자격증명 재설정(29%) 등의 문제를 지적했다. 

또 응답자의 81%는 비밀번호를 잊어버려 업무상 중요한 정보에 액세스하는 데 어려움을 겪은 적이 있다고 인정했다. 보고서에 따르면 비밀번호 문제로 인해 직원 1인당 연간 평균 375달러를 지출하는 것으로 나타났다. 

브래슨은 "기존의 2단계 접근 방식은 사용자 성능에 미치는 보안 영향을 줄이기보다는 오히려 사용자 마찰을 증가시키는 경향이 있다. 업무 리소스에 액세스하기 위해 추가 작업을 수행하도록 요구한다”라고 지적했다. 

연구 보고서에 따르면 거의 모든 응답자(98%)가 패스워드리스 인증 방식을 도입하면 조직에 도움이 될 것이라는 데 동의했다. 패스워드리스 방식의 주요 장점으로는 사용자 경험 및 생산성 향상(45%), 사이버 보안 강화(43%), 직원의 MFA 채택 촉진(42%), 안전하지 않은 레거시 시스템 폐기(36%) 등이 지목됐다. 

브래슨은 패스키와 같은 새로운 패스워드리스 기술의 접근성이 높아지고 FIDO 표준의 채택이 증가함에 따라 패스워드리스 기술이 모멘텀을 얻어가고 있다고 진단했다. 

한편 이번 연구에서는 패스워드리스 인증에 대한 몇몇 오해가 여전히 존재하고 있음이 드러났다. 조직에서 비밀번호 없는 시스템을 사용한다고 답한 응답자 중 58%는 모바일 인증 앱을 통한 OTP를, 54%는 RSA 토큰과 같은 OTP 하드웨어 토큰을, 53%는 푸시 알림을, 50%는 생체인식으로 잠금 해제되어 백엔드에서 중계되는 저장된 비밀번호를 사용한다고 답했다. 비밀번호로부터 완전히 벗어난, 진정한 의미의 패스워드리스 시스템을 사용하는 비율은 3%에 그쳤다.  패스워드리스 솔루션을 도입한 조직 다수가 여전히 피싱, 푸시 피로도 및 기타 MFA 공격에 노출되어 있는 현실을 시사한다. 

이 밖에 65%는 기존 MFA와 피싱 방지 MFA를 구분하지 못했으며, 82%는 여전히 기존 MFA가 완벽하거나 높은 보안을 제공한다고 믿고 있었다. ciokr@idg.co.kr