MFA Fatigue Attack 분석: 반복 인증 요청을 이용한 계정 탈취 수법

다중 인증의 허점을 파고드는 새로운 위협

우리는 흔히 아이디와 비밀번호만으로는 계정을 안전하게 지킬 수 없다는 것을 잘 알고 있습니다. 그래서 이제는 스마트폰 앱으로 숫자를 확인하거나 푸시 알림을 승인하는 다중 인증, 즉 MFA를 필수로 사용하는 세상이 되었습니다. 해커들이 비밀번호를 알아내더라도 스마트폰이 없으면 로그인을 할 수 없으니 안전하다고 믿는 것입니다. 하지만 보안 기술이 발전하는 만큼 공격자들의 수법도 점점 더 교묘해지고 있습니다.

최근 각 기업과 개인을 위협하는 대표적인 공격 기법 중 하나가 바로 MFA 피로도 공격입니다. 이 수법은 기술적인 시스템의 취약점을 직접 뚫는 것이 아니라, 이를 사용하는 인간의 심리적 약점을 파고듭니다. 보안의 가장 약한 고리가 사람이라는 점을 정확히 노린 것입니다. 이 공격이 무엇인지, 그리고 어떻게 우리의 소중한 계정을 지킬 수 있는지 자세히 알아보겠습니다.

반복적인 승인 요청으로 사람을 지치게 만드는 수법

이 공격의 원리는 이름 그대로 대상이 지칠 때까지 인증 요청을 끊임없이 보내는 것입니다. 공격자가 이미 탈취한 사용자의 아이디와 비밀번호로 로그인을 시도하면, 사용자의 스마트폰에는 인증을 승인하라는 푸시 알림이 전송됩니다. 정상적인 상황이라면 사용자는 이를 거부하거나 무시할 것입니다. 하지만 공격자는 이 요청을 한 번으로 끝내지 않습니다.

밤낮을 가리지 않고, 혹은 업무가 가장 바쁜 시간에 수십 번에서 수백 번에 달하는 인증 알림을 계속해서 보냅니다. 스마트폰 화면이 끊임없이 켜지고 진동이 울리면 사용자는 극심한 피로감과 짜증을 느끼게 됩니다. 회의 중이거나 휴식을 취할 때 계속 울리는 알림 때문에 스마트폰을 확인하는 것조차 스트레스가 됩니다. 결국 이 알림 폭격을 멈추고 당장 이 상황에서 벗어나고 싶은 마음에, 사용자는 무심코 승인 버튼을 누르게 됩니다. 공격자는 바로 이 순간을 노려 계정에 접속합니다.

실제 사례로 보는 위험성과 파급력

이 수법은 단순히 영화 속에 나오는 이야기가 아닙니다. 실제로 세계적인 대기업들이 이 공격에 무너진 사례가 적지 않습니다. 유명한 글로벌 승차 공유 서비스나 대형 기술 기업들이 이 방식으로 내부 시스템을 해킹당했습니다. 공격자들은 직원들의 계정을 하나 뚫고 들어가 내부망을 휘젓고 다니며 핵심 데이터를 탈취했습니다.

이 공격이 무서운 이유는 복잡한 해킹 도구나 고급 기술이 크게 필요하지 않다는 점입니다. 이미 유출된 계정 정보만 있으면 자동화된 프로그램을 통해 누구나 쉽게 시도할 수 있습니다. 기업의 보안 담당자뿐만 아니라 일반 직장인이나 개인 사용자도 언제든지 타겟이 될 수 있다는 뜻입니다. 특히 원격 근무가 보편화된 요즘에는 이러한 비대면 인증 과정의 허점을 파고드는 공격이 더욱 빈번하게 발생하고 있습니다.

단순한 실수가 불러오는 거대한 보안 사고

많은 사람들이 나는 절대 그런 단순한 실수로 승인 버튼을 누르지 않을 것이라고 자신합니다. 하지만 실제 상황에 처하면 인간은 생각보다 쉽게 무너집니다. 새벽 세 시에 잠결에 울리는 알림을 받거나, 중요한 마감 시간에 계속해서 방해를 받으면 판단력이 흐려지기 마련입니다. 공격자들은 사용자가 가장 피곤하고 방심하기 쉬운 시간을 골라서 집중적으로 공격을 감행하기도 합니다.

또한 피싱 수법과 결합하여 피해를 극대화하기도 합니다. 알림을 계속 보내 사용자를 혼란스럽게 만든 뒤, IT 부서 사칭 전화를 걸어 지금 시스템 점검 중이니 인증 번호를 불러달라거나 승인하라고 요구하는 식입니다. 기술적 공격과 사회공학적 기법이 결합되면 방어하기가 훨씬 까다로워집니다.

보안을 강화하는 똑똑한 대응 전략

이러한 반복적인 인증 요청 공격으로부터 계정을 안전하게 보호하려면 기존의 방식을 조금 더 보완할 필요가 있습니다. 무조건 알림을 누르는 방식에서 벗어나, 시스템과 사용자 모두가 안전장치를 마련해야 합니다.

• 숫자 일치 기능 도입하기: 알림을 승인할 때 스마트폰 화면에 나오는 숫자를 로그인 창에 직접 입력하는 방식을 사용합니다. 내가 지금 로그인하려고 시도하는 상황이 맞는지 명확하게 확인할 수 있습니다.

• 알림 빈도 제한 설정하기: 동일한 계정에서 짧은 시간 동안 너무 많은 인증 요청이 들어오면 자동으로 로그인을 차단하거나 잠그는 기능을 활성화합니다.
• 인증 수단 다변화하기: 푸시 알림뿐만 아니라 하드웨어 보안 키나 생체 인식을 함께 활용하여 쉽게 승인할 수 없도록 만듭니다.
• 의심스러운 알림 신고하기: 내가 시도하지 않은 로그인 요청이 계속 들어올 경우, 즉시 보안 부서에 알리거나 비밀번호를 변경하는 절차를 숙지합니다.

우리가 흔히 오해하는 보안 상식들

다중 인증을 쓰고 있으니 내 계정은 해킹으로부터 완전히 안전하다는 생각은 가장 흔한 오해 중 하나입니다. 인증 수단이 있다는 것과 그것을 올바르게 관리하는 것은 전혀 다른 문제입니다. 도둑이 집 앞에 자물쇠를 채워두었어도 열쇠를 주인에게 계속 졸라서 받아낸다면 자물쇠는 아무런 소용이 없는 것과 같습니다.

또 다른 오해는 이러한 공격이 기업의 최고 관리자 계정에만 집중된다는 것입니다. 물론 관리자 계정이 털리면 타격이 크지만, 공격자들은 보안이 상대적으로 취약한 일반 직원의 계정을 먼저 뚫은 뒤 권한을 상승시키는 전략을 주로 사용합니다. 따라서 직급이나 부서와 상관없이 모든 구성원이 경각심을 가져야 합니다.

기업 차원에서 실천해야 할 비용 효율적인 보안 대책

비싼 보안 솔루션을 무조건 도입한다고 해서 모든 문제가 해결되는 것은 아닙니다. 기업의 입장에서 가장 비용 효율적이면서도 확실한 대책은 임직원들을 대상으로 한 보안 교육과 정책 설정입니다.

• 반복적인 인증 요청을 받았을 때의 대처 요령을 전사적으로 교육합니다.
• 인증 실패 횟수가 일정 기준을 넘으면 관리자에게 즉시 경고가 가도록 시스템을 설정합니다.
• 모바일 푸시 알림 외에 패스키나 FIDO 기반의 인증 방식을 적극적으로 도입하여 피싱이나 반복 요청에 원천적으로 대응합니다.
• 퇴사자나 미사용 계정은 즉시 비활성화하여 공격자가 악용할 수 있는 틈을 없앱니다.

안전한 디지털 생활을 위한 마음가짐

기술이 발전할수록 우리의 삶은 편리해지지만, 동시에 보이지 않는 위협도 함께 커집니다. 다중 인증은 계정 보안을 지키는 훌륭한 방패이지만, 그 방패를 쥐고 있는 손이 지쳐서 놓아버린다면 아무런 의미가 없어집니다.

모르는 번호나 내가 시도하지 않은 순간에 스마트폰이 울린다면 귀찮음을 이겨내고 반드시 거부 버튼을 눌러야 합니다. 보안은 특별한 전문가들만이 지키는 영역이 아니라, 매일 화면을 마주하는 우리 모두의 작은 주의와 실천에서 완성됩니다. 평소 내 계정의 로그인 기록을 주기적으로 확인하고, 낯선 알림에는 민감하게 반응하는 습관을 들여 소중한 디지털 자산을 안전하게 지켜내야 합니다.