[해외보안뉴스] 마이크로소프트, 2027년 SMS 인증 중단 대비 Entra ID 패스키 전환 권고
· 2026-10-29 03:00
· 조회 7
· 원문 ↗
마이크로소프트(Microsoft)가 Entra ID 관리자들에게 사용자 인증 방식을 패스키(Passkeys)와 같은 피싱 방지(Phishing-resistant) 수단으로 신속히 전환할 것을 다시 한번 강력히 권고했습니다. 이는 오는 2027년 2월로 예정된 SMS 및 음성 통화 기반의 다중 요소 인증(MFA) 지원 중단에 대비하기 위한 조치로, 향후 발생할 수 있는 로그인 장애를 방지하고 보안성을 강화하는 데 목적이 있습니다.
이번 조치는 Microsoft Entra ID를 통해 클라우드 계정 및 접근 권한을 관리하는 모든 기업과 IT 관리자에게 영향을 미칩니다. 기존의 SMS 및 음성 기반 인증 방식은 심 스와핑(SIM Swapping), 중간자 공격(MitM), 피싱 공격에 취약하다는 치명적인 한계가 지속적으로 지적되어 왔으며, 지원 종료 시점이 다가옴에 따라 미전환 조직은 보안 위협과 서비스 이용 차질이라는 이중고를 겪을 수 있습니다.
따라서 IT 관리자들은 FIDO2 보안 키, Microsoft Authenticator 앱 기반의 패스키 등 강화된 피싱 방지 인증 수단으로의 이행 계획을 즉시 수립해야 합니다. 마이크로소프트는 서비스 중단을 예방하고 기업의 주요 자산을 안전하게 보호하기 위해, 관리자들이 사전에 인증 정책을 점검하고 단계적인 패스키 도입 및 사용자 교육을 서둘러 진행할 것을 당부했습니다.
♥ 추천 0
SMS/음성 인증은 SIM 스와핑 및 중간자 공격(MitM)에 취약하므로, FIDO2/WebAuthn 기반의 패스키 전환은 보안 아키텍처 관점에서 필수적인 수순입니다.
개발팀 입장에서는 백엔드 인증 파이프라인 수정과 함께 프론트엔드의 WebAuthn API 연동, 기존 레거시 시스템과의 예외 처리(Fallback) 로직을 선제적으로 재설계해야 합니다.
2027년까지 여유가 있어 보이지만, 사용자 온보딩 프로세스 개편과 시스템 안정화 기간을 고려하면 지금부터 인증 시스템 마이그레이션을 시작해야 합니다.
SMS 및 음성 인증은 Evilginx 같은 프록시 기반 AiTM(Adversary-in-the-Middle) 피싱으로 세션 토큰을 손쉽게 탈취할 수 있어 주요 침투 경로로 활용되어 왔습니다. 피싱 저항성이 있는 패스키로의 전환은 이러한 기존 피싱 기법을 무력화하므로, 공격자들은 향후 엔드포인트 탈취나 세션 하이재킹 같은 후속 공격 기법으로 눈을 돌릴 것입니다. 다만 2027년 완전 폐지 전까지는 레거시 인증을 강제 유도하는 다운그레이드 공격이나 전환 프로세스 자체를 노린 사회공학적 공격이 집중될 가능성이 높습니다.
SMS 및 음성 기반 인증의 보안 한계를 고려할 때, 피싱 저항성을 가진 패스키(Passkey)로의 전환은 조직의 계정 위협 리스크를 낮추기 위한 필수 과제입니다. 2027년까지 아직 시간이 남은 것처럼 보이지만, 전사적인 인증 체계 변경과 임직원 수용성 제고에는 상당한 기간이 소요됩니다. 보안 거버넌스 관점에서 조속히 단계별 마이그레이션 로드맵을 수립하고 관련 인증 정책을 정비해야 합니다.