SMS 기반 다중 인증으로 인한 상위 5가지(5) 위험

2023년 4월 4일 | 조언하는, 블로그, 어려운

다중 요소 인증

사이버 보안 전문가로서 CyberHoot vCISO들은 수년에 걸쳐 다중 인증(MFA) 기술의 발전을 목격해 왔습니다. SMS 기반 MFA는 편의성과 구현 용이성으로 널리 사용되어 왔지만, 공격자가 악용할 수 있는 여러 취약점을 가지고 있습니다. 이 블로그에서는 암호화 부족, 네트워크 중단, SS7 공격, 소셜 엔지니어링, SIM 스와핑 등 SMS 기반 MFA와 관련된 위험에 대해 논의합니다. 또한, 더 나은 보안을 제공하는 대체 MFA 솔루션을 추천해 드리겠습니다.

SMS 기반 MFA와 관련된 위험:

SMS 기반 MFA는 다양한 유형의 공격에 취약하여 다른 MFA 방식보다 보안성이 떨어집니다. SMS 메시지 암호화 부족, SS7 공격 위험, 소셜 엔지니어링, SIM 스와핑은 SMS 기반 MFA와 관련된 심각한 위험 요소입니다.

암호화 부족:

SMS 메시지는 암호화되지 않아 공격자가 가로채서 읽을 수 있습니다. SMS 메시지에 6자리 인증 코드와 같은 민감한 정보가 포함되어 있는 경우, 공격자는 이를 악용하여 대상 계정에 접근할 수 있습니다.

네트워크 중단

이동통신사 네트워크는 SMS를 사용할 수 없게 만드는 네트워크 중단의 영향을 받지 않습니다. 이러한 중단은 드물지만 인터넷이 정상적으로 작동하는 동안에도 발생할 수 있으며, 이로 인해 긴급 상황에서 중요한 계정에 접속하지 못할 수 있습니다.

신호 시스템 7(SS7) 공격:

SS7은 Signaling System 7의 약자로, 1988년에 처음 배포되어 30년 전인 1993년에 마지막으로 업데이트된 프로토콜입니다. 통신사들이 이동통신사 네트워크 간 정보 교환에 사용하는 프로토콜입니다. 해커는 SS7의 취약점을 악용하여 의도된 수신자에게 전송된 SMS 메시지를 가로채고 리디렉션할 수 있습니다. 이 공격을 SS7 공격이라고 합니다. 공격자는 MFA(다중 인증) 프로세스를 가로채 대상 계정의 2단계 인증 정보에 접근할 수 있습니다. 재사용된 비밀번호와 함께 사용하면 해커는 이러한 형태의 MFA 보호를 통해 중요 계정에 접근할 수 있습니다.

사회 공학:

사회 공학은 공격자가 개인을 속여 기밀 정보를 유출하도록 하는 전술입니다. SMS 기반 MFA의 경우, 공격자는 피해자의 이동통신사에 연락하여 피해자를 사칭하여 피해자의 전화번호와 연결된 SIM 카드를 획득할 수 있습니다. 공격자는 이 SIM 카드를 통해 피해자에게 전송되는 SMS 메시지를 수신하여 MFA 절차를 우회하고 대상 계정에 접근할 수 있습니다. SIM 카드 공격의 또 다른 형태는 SIM 스와핑(SIM-Swapping)으로, 이제 살펴보겠습니다.

SIM 스와핑:

SIM 스와핑은 공격자가 피해자의 전화번호를 장악하기 위해 사용하는 수법입니다. 공격자는 피해자를 사칭하여 이동통신사가 피해자의 전화번호를 소유한 SIM 카드로 전송하도록 유도할 수 있습니다. 피해자의 전화번호를 장악한 공격자는 2단계 인증 수단인 SMS 코드를 획득하고, 노출되거나 재사용되거나 해킹된 계정 비밀번호를 사용하여 대상 계정에 접근할 수 있습니다.

SMS 기반 다중 인증(MFA)의 상위 5가지 위험 요소를 소개합니다. CyberHoot에서 더 이상 권장하지 않음에도 불구하고 SMS MFA를 사용해야 하는 경우 따라야 할 모범 사례를 살펴보겠습니다. 그런 다음 SMS 기반 MFA보다 훨씬 안전한 대안적인 MFA 방법을 제시해 드리겠습니다.

SMS 기반 MFA에 대한 모범 사례:

SMS 기반 MFA는 취약점에도 불구하고 올바르게 사용하면 추가적인 보안을 제공할 수 있습니다. SMS 기반 MFA와 관련된 위험을 완화하는 데 도움이 되는 몇 가지 모범 사례는 다음과 같습니다.

고유하고 공개되지 않은 전화번호를 사용하세요. 가능하다면 다른 계정이나 서비스와 연결되지 않은 전화번호를 사용하고 공개되지 않은 전화번호를 사용하세요. 이렇게 하면 소셜 엔지니어링 공격과 SIM 스와핑의 위험을 줄일 수 있습니다.
위험도가 높은 계정에는 SMS 기반 MFA를 사용하지 마세요. 민감한 정보나 금융 자산에 접근할 수 있는 계좌에는 SMS 기반 MFA를 사용하지 마세요.
계정 활동 모니터링: 정기적으로 계정 활동을 모니터링하고 의심스러운 활동이 있으면 즉시 서비스 제공자에게 보고하세요.

SMS MFA에 대한 더 나은 대안 MFA 솔루션:

MFA의 보안을 강화하기 위해 SMS 기반 MFA보다 더 안전한 여러 대안 솔루션이 존재합니다. 몇 가지 예를 들면 다음과 같습니다.

모바일 인증 앱: Google Authenticator, Microsoft Authenticator, Authy와 같은 인증 앱은 30초마다 변경되는 시간 기반 일회용 비밀번호(TOTP)를 생성합니다. TOTP는 인증 프로세스의 두 번째 요소로 사용되어 보안을 강화합니다.
하드웨어 토큰: YubiKey 및 RSA SecurID와 같은 하드웨어 토큰은 인증 과정에서 두 번째 요소로 사용되는 고유 코드를 생성합니다. 이러한 토큰은 SMS 기반 MFA보다 안전하며 SS7 공격, 소셜 엔지니어링, SIM 스와핑 또는 암호화 부족에 취약하지 않습니다.
생체 인증: 생체 인증은 지문, 얼굴 인식, 음성 인식과 같은 신체적 특징을 인증 과정의 두 번째 요소로 사용합니다. 이 방식은 생체 정보가 각 개인마다 고유하며 쉽게 복제되거나 도용될 수 없기 때문에 매우 안전합니다. 또한, 사용자가 비밀번호를 기억하거나 토큰을 소지할 필요가 없어 편리하기도 합니다.

CyberHoot의 다중 요소 인증(이미지 출처: Kasaya)

다중 요소 인증 결론:

SMS 기반 MFA는 추가적인 보안 계층을 제공하기 위해 널리 사용되어 왔지만, 공격자가 악용할 수 있는 심각한 취약점을 가지고 있습니다. 암호화 부족, 네트워크 중단, SS7 공격, 소셜 엔지니어링, SIM 스와핑은 모두 SMS 기반 MFA와 관련된 위험입니다. 이러한 위험을 완화하는 데 도움이 되는 모범 사례가 있지만, 모바일 인증 앱, 하드웨어 토큰, 생체 인증과 같이 더 나은 보안을 제공하는 대체 MFA 솔루션도 있습니다.

사이버 보안 분야의 베테랑인 CyberHoot은 개인과 조직이 보안 태세를 강화하고 민감한 정보와 자산을 보호하기 위해 이러한 대안 솔루션을 고려할 것을 권장합니다.