AiTM(Adversary-in-the-Middle) 피싱이란? 인증 세션 탈취 공격의 원리

디지털 시대의 새로운 위협 인증 세션 탈취 공격

우리가 매일 사용하는 인터넷 세상은 편리해졌지만 그만큼 보안 위협도 교묘해지고 있습니다. 아이디와 비밀번호를 입력하고 로그인하는 과정은 이제 너무나 익숙한 일상이 되었지만 이 평화로운 로그인 방식의 빈틈을 파고드는 새로운 공격 기법이 등장했습니다. 바로 AiTM 피싱이라고 부르는 공격입니다. 이 공격은 전통적인 피싱의 개념을 완전히 뒤흔들어 놓았으며 보안 전문가들 사이에서도 가장 경계하는 대상 중 하나로 꼽힙니다. 오늘 이 글에서는 도대체 이 공격이 무엇이고 어떻게 우리의 계정을 위험에 빠뜨리는지 아주 쉽게 풀어보겠습니다.

전통적인 피싱과 결정적 차이점

기본적인 피싱은 속임수입니다. 진짜와 아주 똑같이 만든 가짜 웹사이트로 사용자를 유인해서 아이디와 비밀번호를 직접 입력하게 만드는 방식입니다. 하지만 이 방식은 결정적인 약점이 있었습니다. 바로 이중 인증을 뚫기가 어렵다는 점입니다. 문자로 날아오는 인증번호나 스마트폰 앱에서 승인하는 알림까지 가짜 사이트가 가로채기는 기술적으로 까다로웠기 때문입니다. 그래서 많은 보안 전문가들은 이중 인증만 켜두면 계정이 안전하다고 조언해 왔습니다.

그러나 기술이 발전하면서 해커들도 진화했습니다. 중간자 공격이라는 개념을 피싱에 결합한 것이 바로 AiTM 공격입니다. 이 방식은 사용자와 실제 서비스 제공자 사이에 해커가 몰래 끼어드는 구조를 가집니다. 사용자는 진짜 사이트에 로그인하는 것처럼 보이지만 실제로는 해커가 만든 가짜 중계 서버를 통하고 있는 것입니다. 이 과정에서 해커는 사용자가 입력하는 아이디와 비밀번호는 물론이고 이중 인증을 통과하면서 발생하는 일회용 인증번호까지 모두 실시간으로 가로챕니다.

인증 세션이 탈취되는 구체적인 원리

이 공격의 핵심은 비밀번호 그 자체가 아니라 인증 세션이라는 개념에 있습니다. 우리가 어떤 사이트에 로그인을 성공하면 웹서버는 우리 브라우저에게 티켓 같은 것을 발급해 줍니다. 이 티켓을 세션 쿠키라고 부릅니다. 이 쿠키가 있으면 브라우저는 매번 아이디와 비밀번호를 다시 입력하지 않아도 내가 로그인한 상태라는 것을 서버에 증명할 수 있습니다. 며칠 동안 사이트를 껐다 켜도 자동으로 로그인이 유지되는 이유가 바로 이 쿠키 덕분입니다.

해커들이 노리는 것은 바로 이 세션 쿠키입니다. 공격의 흐름을 단계별로 살펴보면 다음과 같습니다.

• 공격자는 실제 로그인 페이지 주소를 변형하여 피해자에게 정교하게 조작된 이메일을 보냅니다.
• 피해자가 링크를 누르면 해커가 운영하는 프록시 서버로 연결되며 이 서버는 실제 웹사이트의 화면을 그대로 사용자에게 보여줍니다.
• 피해자가 평소처럼 아이디와 비밀번호를 입력하고 이중 인증까지 완료합니다.
• 이때 중간에 있던 해커의 서버는 피해자가 보낸 모든 정보를 실제 사이트에 그대로 전달하고 로그인에 성공합니다.
• 실제 사이트가 피해자에게 발급해 준 정상적인 세션 쿠키를 해커의 서버가 중간에서 가로챕니다.
• 해커는 이 세션 쿠키를 자신의 컴퓨터에 그대로 복사해서 붙여넣고 마치 피해자인 것처럼 위장하여 계정에 무단으로 접속합니다.

이 과정이 소름 돋는 이유는 피해자가 정상적으로 모든 보안 절차를 거쳤음에도 불구하고 결과적으로 해커에게 정문 열쇠를 통째로 넘겨준 격이 되기 때문입니다.

흔히 갖는 오해와 진실

많은 사람들이 이중 인증을 사용하면 모든 피싱 공격으로부터 안전하다고 믿습니다. 물론 이중 인증은 여전히 매우 강력하고 필수적인 보안 장치이지만 AiTM 공격 앞에서는 무력화될 수 있습니다. 인증번호를 입력하는 순간 해커가 바로 옆에서 그 번호를 실시간으로 가로채기 때문입니다.

또 다른 오해는 보안意识이 뛰어난 사람은 절대 당하지 않는다는 생각입니다. 가짜 사이트의 URL이 이상하거나 디자인이 어설프면 눈치챌 수 있지만 AiTM 공격에 사용되는 중계 도구들은 실제 도메인과 아주 유사한 위장 주소를 사용하고 화면 구성도 실시간으로 연동되기 때문에 보안 전문가조차 찰나의 순간에는 진짜와 구별하기가 매우 어렵습니다.

일상에서 실천할 수 있는 강력한 대응 방법

그렇다면 우리는 이 고도화된 위협으로부터 어떻게 자신을 보호해야 할까요. 기술이 발전한 만큼 방어 기술도 함께 발전하고 있습니다. 비용을 들이지 않거나 최소한의 설정만으로도 이 위험을 대폭 낮출 수 있는 실질적인 방법들을 소개합니다.

피싱에 강한 다중 인증 도입하기

문자 메시지나 일반적인 앱 알림 방식의 이중 인증은 AiTM 공격에 취약합니다. 대신 FIDO 표준을 기반으로 하는 피싱 저항성 인증 방식을 사용해야 합니다. 대표적인 것이 바로 물리적인 보안 키나 스마트폰 자체를 인증 수단으로 사용하는 방식입니다. 이 방식은 로그인하려는 웹사이트의 주소가 진짜인지 브라우저가 직접 확인하기 때문에 해커가 중간에서 가로채려고 해도 도메인 주소가 달라서 로그인이 원천적으로 차단됩니다.

조건부 접근 정책 활용하기

기업이나 조직의 관리자라면 조건부 접근 정책을 적극적으로 활용해야 합니다. 사용자가 로그인하는 기기가 회사에서 관리하는 안전한 기기인지, 접속하는 위치가 평소와 같거나 허용된 국가인지 등을 실시간으로 검사하여 의심스러운 환경에서의 세션 생성을 애초에 차단하는 것입니다. 설령 해커가 세션 쿠키를 탈취했더라도 완전히 다른 IP 주소나 낯선 기기에서 접속을 시도하면 시스템이 이를 감지하고 차단할 수 있습니다.

브라우저 확장 프로그램과 보안 기능 활용

평소에 사용하는 웹브라우저의 최신 보안 기능을 항상 활성화해 두는 것이 좋습니다. 피싱 사이트 탐지 기능이 켜져 있는 브라우저는 의심스러운 프록시 서버나 위장된 도메인으로 접속을 시도할 때 경고 화면을 띄워줍니다. 또한 브라우저에 저장된 비밀번호 자동 완성 기능을 사용할 때 알 수 없는 사이트에서 비밀번호가 자동으로 입력되지 않도록 주의해야 합니다. AiTM 공격은 사용자가 무심코 입력하는 정보를 노리기 때문에 자동 완성 기능이 작동하는 위치를 항상 주시해야 합니다.

자주 묻는 질문

세션 쿠키를 탈취당하면 내 컴퓨터의 파일도 해킹당하나요

세션 쿠키 탈취는 컴퓨터 전체를 감염시키는 악성코드 감염과는 다릅니다. 주로 웹브라우저 상에서 특정 웹사이트에 로그인된 권한만 가로채는 것이므로 내 컴퓨터의 로컬 파일이 유출되기보다는 해당 웹서비스에 연동된 개인정보나 클라우드 데이터가 위험해집니다.

모바일 기기에서도 이런 공격이 일어날 수 있나요

스마트폰 브라우저를 사용할 때도 똑같이 발생할 수 있습니다. 모바일 메신저나 문자 메시지로 수신한 출처가 불분명한 링크를 통해 모바일 브라우저로 접속해 로그인하는 경우에도 동일한 원리로 세션이 탈취될 수 있으므로 모바일 환경에서도 항상 주소가 올바른지 확인하는 습관이 필요합니다.

의심스러운 사이트인지 판별하는 가장 빠른 방법은 무엇인가요

로그인 페이지 주소창의 도메인 주소를 아주 꼼꼼히 살펴보는 것이 좋습니다. 대기업이나 유명 서비스의 이름을 사칭하면서 철자가 미묘하게 다르거나 전혀 상관없는 문자열이 포함되어 있다면 즉시 창을 닫아야 합니다. 또한 브라우저가 제공하는 보안 경고 문구가 뜬다면 절대 무시하지 말고 접근을 중단해야 합니다.