MFA 우회 위험

MFA는 계정 탈취를 크게 줄여 주지만 만능 해결책은 아닙니다.

공격자는 더 약한 형태의 MFA를 우회하기 위한 여러 기법을 개발했습니다.

SIM 교체 공격은 이동통신사를 속여 피해자의 전화번호를 공격자의 SIM으로 옮기게 합니다.

그러면 모든 SMS 기반 코드가 공격자에게 전달됩니다. 이것이 SMS가 가장 약한 두 번째 인증 요소인 이유입니다.

공격자 중간자 프록시와 같은 도구는 사용자와 실제 사이트 사이에 위치합니다.

이 도구는 로그인 정보와 OTP를 실시간으로 중계하고 그 결과 생성된 세션 쿠키를 훔칩니다. 이 방식은 SMS, TOTP, 심지어 푸시까지 무력화합니다.

공격자가 MFA 이후 인증된 세션 토큰 또는 쿠키를 훔치면 MFA를 완전히 건너뛸 수 있습니다.

악성 코드, 훔친 브라우저 데이터 또는 XSS를 통해 이러한 토큰이 유출될 수 있습니다.

푸시 기반 MFA를 사용할 때 공격자는 이미 비밀번호를 알고 있다면 승인 요청을 계속 보냅니다.

지치거나 혼란스러워진 사용자가 결국 승인을 누르면 공격자에게 접근 권한이 부여됩니다. 번호 일치 확인으로 이를 방어할 수 있습니다.

계정 복구 절차는 자주 취약점이 되는 부분입니다. 비밀번호나 MFA를 재설정하는 데 이메일 링크나 보안 질문만 필요하다면 공격자는 대신 그 부분을 노립니다.

복구 절차도 기본 로그인만큼 강력해야 합니다.

가장 강력한 방어 방법은 피싱 방어형 MFA인 FIDO2 보안 키와 패스키입니다.

자격 증명이 실제 오리진에 연결되어 있으므로 프록시 피싱 사이트는 유효한 인증을 중계할 수 없습니다.

실시간 피싱이 FIDO2를 상대로 실패하는 이유는 보안 키가 사기 도메인에 연결된 인증용 요청값에 서명하고, 실제 서버가 이를 거부하기 때문입니다.

사용자가 다시 입력해야 할 코드가 없고 훔칠 수 있는 재사용 가능한 비밀도 없습니다.

MFA를 다른 보안 통제와 함께 사용하십시오.

• 위험 기반 단계적 인증
• 짧은 세션 수명과 민감한 작업에 대한 재인증
• 기기 연결 및 토큰 연결
• 불가능한 이동 모니터링

복구 과정의 취약점을 없애려면 다음과 같이 하십시오.

• 보안 질문을 사용하지 마십시오.
• MFA를 재설정할 때 등록된 두 번째 키를 요구하십시오.
• 복구 시도에 지연 시간과 알림을 추가하십시오.

강력한 MFA도 보안 의식이 있는 사용자가 있으면 더 효과적입니다.

• 본인이 시작하지 않은 푸시는 절대 승인하지 마십시오.
• 긴급하게 보이는 로그인 요청을 의심하십시오.
• 예상하지 못한 MFA 요청은 즉시 신고하십시오.

코드를 중계하고 세션 쿠키를 훔치는 실시간 피싱 프록시에 가장 잘 대응하는 MFA 방식은 무엇인가요?

MFA가 우회되는 방법과 MFA를 강화하는 방법을 배웠습니다.

• SIM 교체 공격, 실시간 피싱, 세션 탈취 및 MFA 피로 공격은 주요 위협입니다.
• 피싱 방어형 MFA(FIDO2 / 패스키)가 가장 강력한 방어 방법입니다.
• 복구 절차를 강화하고 심층 방어를 사용하십시오.

다음 모듈: ID 및 액세스 관리