[해외보안뉴스] 다중 인증(MFA)만으로는 막을 수 없는 OAuth 동의 권한 남용 위협
· 2026-09-20 10:00
· 조회 27
· 원문 ↗
최근 사이버 보안 분야에서 다중 인증(MFA) 도입이 필수 요소로 자리 잡았으나, 이를 우회하는 'OAuth 동의 권한 남용(OAuth Consent Abuse)' 공격이 새로운 위협으로 부상하고 있습니다. 이 공격 방식은 사용자가 MFA를 거쳐 정상적으로 인증을 완료한 후, 피싱 등을 통해 악성 써드파티 애플리케이션에 계정 접근 권한을 부여하도록 유도합니다. 일단 사용자가 권한 동의를 하고 나면, 공격자는 비밀번호나 MFA 재인증 없이도 액세스 토큰을 이용해 계정에 지속해서 접근할 수 있게 됩니다.
이러한 위협은 Microsoft 365, Google Workspace 등 클라우드 기반 SaaS 환경을 이용하는 모든 기업과 조직에 직접적인 영향을 미칩니다. 공격자가 권한을 획득하면 이메일 읽기, 파일 다운로드, 내부 데이터 송수신 등 민감 정보를 유출할 수 있으며, 권한을 부여받은 앱을 거점으로 삼아 기업 내부 네트워크로 침투를 확대할 수 있습니다. MFA가 계정 로그인 자체는 보호하지만, 인가된 앱 권한을 악용하는 행위까지는 막지 못한다는 점이 가장 큰 문제점입니다.
따라서 조직은 MFA 구축에만 의존하지 않고 강력한 OAuth 거버넌스 체계를 병행해야 합니다. 우선 일반 사용자가 임의로 써드파티 앱에 높은 권한을 부여하지 못하도록 제한하고, 서비스 이용에 필요한 최소한의 권한만 부여하는 최소 권한 원칙(Least-privilege scopes)을 적용해야 합니다. 또한, 관리자 승인 워크플로우를 도입하고 동의된 앱 현황을 상시 모니터링하여, 의심스럽거나 불필요한 앱 권한은 즉시 철회(Revocation)할 수 있는 신속한 대응 체계를 갖추어야 합니다.
MFA는 인증(Authentication) 단계의 방어선일 뿐, 정상 인가(Authorization) 후 오남용되는 OAuth 토큰까지 막아주진 못합니다.
아키텍처 설계 시 API 애플리케이션의 스코프(Scope)를 최소 권한으로 엄격히 제한하고, 코드 레벨에서 과도한 권한 요청을 거부하는 가드레일이 필요합니다. 또한 탈취나 이상 징후가 포착되었을 때 세션과 토큰을 즉시 폐기(Revoke)할 수 있는 중앙 집중식 모니터링 및 즉각 차단 메커니즘을 구축해야 합니다.
MFA를 완벽히 구축하더라도 사용자가 악성 OAuth 앱 권한을 승인하면 공격자는 패스워드나 MFA 재인증 없이도 지속적인 접근 권한(Persistence)을 확보할 수 있습니다. 침투 테스트 관점에서도 과도한 스코프(Scope)를 노린 OAuth 승인 피싱은 전통적인 MFA 방어선을 한 번에 우회할 수 있어 매우 유용한 공격 벡터로 활용됩니다. 결국 MFA만으로는 한계가 명확하며, 최소 권한 원칙에 기반한 애플리케이션 모니터링과 즉각적인 권한 회수(Revocation) 프로세스가 반드시 병행되어야 합니다.
MFA가 강력한 기본 방어선인 것은 분명하지만, 사용자가 직접 권한을 승인하는 OAuth 기반의 위협까지 완벽히 차단할 수는 없습니다. 이제 아이덴티티 보안의 핵심은 단순한 인증 강화를 넘어 최소 권한(Least-privilege) 설정과 서드파티 앱 동의 상태에 대한 상시 모니터링으로 확장되어야 합니다. 조직 차원에서 미승인 SaaS 연동을 통제하고 이상 징후 발생 시 즉시 권한을 회수(Revocation)할 수 있는 OAuth 가버넌스 정책 재정비가 시급한 시점입니다.