[해외보안뉴스] 마이크로소프트, Entra ID 사용자의 패스키 등 피싱 대응 인증 전환 당부
· 2026-09-21 14:00
· 조회 23
· 원문 ↗
마이크로소프트(Microsoft)가 기업 및 조직의 시스템 관리자들에게 Microsoft Entra ID 사용자를 패스키(Passkey)와 같은 피싱 저항성(phishing-resistant) 인증 수단으로 미리 전환할 것을 당부했습니다. 이는 오는 2027년 2월부터 SMS를 통한 1단계(First-factor) 로그인 지원이 공식 종료됨에 따라 발생할 수 있는 서비스 이용 중단 및 로그인 혼선을 예방하기 위한 조치입니다.
이번 정책 변화는 Entra ID 환경에서 SMS를 주요 인증 수단으로 활용하고 있는 모든 기업과 조직에 영향을 미칩니다. SMS 기반 인증은 심 스와핑(SIM Swapping)이나 중간자 공격, 피싱 사이트를 통한 인증 번호 탈취에 취약하다는 보안적 한계가 지속적으로 지적되어 왔습니다. 이에 마이크로소프트는 SMS 1단계 로그인을 단계적으로 폐지하고, FIDO2 보안 키, Microsoft Authenticator 기반 패스키, Windows Hello 등의 강력한 피싱 저항성 인증 방식으로의 이전을 신속히 추진하고 있습니다.
보안 관리자는 로그인 차단 사고를 방지하기 위해 2027년 지원 종료 시점 전까지 조직 내 인증 수단 현황을 점검하고 전환 계획을 수립해야 합니다. Entra ID 관리 센터의 조건부 액세스(Conditional Access) 정책을 활용해 패스키 및 FIDO2 보안 키 등록을 유도하고, SMS 인증 방식에 대한 의존도를 단계적으로 줄여 나가는 대응이 권장됩니다.
♥ 추천 0
SMS 기반 인증은 SIM 스와핑과 피싱 공격에 취약해 아키텍처 관점에서 신속히 제거해야 할 레거시 방식입니다.
2027년 데드라인 전까지 사내 시스템과 연동된 클라이언트 앱의 WebAuthn/FIDO2 API 지원 여부를 점검하고 인증 플로우를 미리 개편해야 합니다.
이번 마이그레이션은 단순히 보안성을 높이는 것뿐만 아니라, SMS 발송 비용 절감 및 인증 실패율 단축 등 서비스 안정성 측면에서도 큰 이점이 될 것입니다.
SMS 기반 1차 인증은 AiTM(Adversary-in-the-Middle) 프록시 피싱이나 SIM 스와핑에 매우 취약해 모의침투 시 가장 선호되는 침투 경로 중 하나였습니다. 피싱 저항성을 가진 패스키(Passkey)로의 전환은 공격자의 자격 증명 탈취 및 피싱 공격 성공률을 극적으로 낮추는 강력한 방어책입니다. 다만 2027년 전면 폐지 전까지 잔존하는 레거시 인증 우회 채널이나 과도기적 설정 오류를 노린 공격 시도는 당분간 지속될 것입니다.
SMS 기반 인증의 퇴출은 피싱 및 계정 탈취 리스크를 근본적으로 해소하기 위한 필연적인 수순입니다. 2027년까지의 유예기간이 남아있지만, 전사 차원의 패스키(Passkey) 도입과 거버넌스 정책 수립, 사용자 환경 변화 적응에는 상당한 리드 타임이 필요합니다. 비즈니스 연속성을 보장하고 제로 트러스트 보안 체계를 완성하기 위해, 당장 로드맵을 수립하여 단계적 전환을 조기에 추진해야 합니다.