[해외보안뉴스] 로그인 시 사용자 비밀번호를 탈취하는 외부 MFA 공급자 악용 공격 주의
· 2026-09-23 00:00
· 조회 27
· 원문 ↗
보안 연구원들이 관리자 권한을 가진 공격자가 가짜(Rogue) 외부 다중 인증(MFA) 공급자를 등록하여 정상적인 로그인 과정에서 사용자의 비밀번호를 탈취할 수 있는 공격 기법을 공개했습니다. 이 기법은 이미 시스템 내 권한을 확보한 공격자가 조직 내부의 다른 계정 자격 증명을 추가로 수집하고 은밀하게 지배력을 확장하는 데 악용될 수 있습니다.
공격자는 식별 및 접근 관리(IAM) 시스템의 관리자 권한을 악용해 자신이 제어하는 외부 MFA 공급자(SAML 또는 OIDC 연동)를 정식 인증 흐름에 등록합니다. 이후 일반 사용자가 정식 로그인 페이지에서 아이디와 비밀번호를 입력하면, 인증 단계가 공격자의 외부 MFA 서버로 연결되면서 평문 비밀번호나 자격 증명 데이터가 외부로 유출됩니다. 이는 사용자가 정상적인 도메인에서 로그인하는 과정에서 발생하므로 사용자가 이상징후를 인지하기 매우 어렵습니다.
이러한 위협을 방지하기 위해서는 IAM 시스템 및 Entra ID, Okta 등 단일 서명(SSO) 환경에서 외부 MFA 공급자나 신뢰하는 ID 공급자(IdP)가 새로 등록·수정될 때 즉시 알림을 받도록 모니터링 체계를 구축해야 합니다. 또한, 관리자 계정에 대한 최소 권한 원칙을 엄격히 적용하고, FIDO2 및 WebAuthn과 같은 피싱 저항성 MFA를 적극 도입해 자격 증명 유출 피해를 최소화해야 합니다.
♥ 추천 0
MFA 연동 단계에서 1차 자격 증명(비밀번호)이 외부 프로바이더 영역으로 노출될 수 있는 인증 데이터 흐름 자체가 아키텍처적 허점입니다.
FIDO2/WebAuthn이나 완전히 격리된 OIDC 파이프라인을 적용해 MFA 단계에 원시 비밀번호가 절대 전달되지 않도록 인증 로직을 제로 트러스트 관점에서 재설계해야 합니다.
또한 서드파티 MFA 프로바이더 등록과 같은 고권한 관리자 기능에는 다중 승인(4-Eye Principle) 절차와 엄격한 감사 로그 모니터링을 반드시 강제해야 합니다.
권한을 획득한 공격자가 정상적인 인증 인프라에 악성 MFA 제공자를 연동하는 방식은, 사용자가 의심 없이 로그인하는 과정에서 평문 패스워드를 은밀히 수집할 수 있어 탐지가 매우 어렵습니다.
레드팀 입장에서는 권한 승격 후 지속성(Persistence)을 확보하고 추가 자격 증명을 지속해서 수집할 수 있는 매우 강력한 후속 공격(Post-Exploitation) 벡터입니다.
결국 최상위 관리자 권한의 오남용 방지와 더불어, 외부 MFA 제공자 등록 및 설정 변경 행위에 대한 엄격한 실시간 모니터링이 핵심 방어 포인트가 될 것입니다.
보안의 핵심 요소인 MFA의 신뢰 체계가 무너지면 조직 전체에 치명적인 리스크로 이어질 수 있음을 보여주는 사례입니다.
특권 권한을 가진 내부 계정 침해에 대비해, IAM 및 MFA 연동 설정 변경 시 '다중 승인(Multi-party approval)' 정책과 엄격한 PAM(특권 권한 관리)을 필수적으로 적용해야 합니다.
제3자 서비스 연동에 대한 보안 검증과 거버넌스를 강화하여 식별 및 인증 체계의 근본적인 안전성을 다져야 할 때입니다.