MFA 이후가 뚫린다: 세션 하이재킹 공격·차단 실무 가이드

위협 요약

다중 인증(MFA)은 강력한 보안 수단으로 알려져 있으나, 최근 공격자들은 인증 단계 자체를 우회하는 세션 하이재킹(Session Hijacking) 및 AiTM(Adversary-in-the-Middle) 공격을 통해 MFA가 적용된 계정까지 무력화하고 있다. 특히 세션 토큰을 탈취하면 추가 인증 없이도 사용자의 권한을 완전히 획득할 수 있어, 기업 환경에서 심각한 위협이 되고 있다.

취약점 개요

세션 하이재킹의 핵심은 '인증(Authentication)'과 '세션 유지(Session State)'의 분리에 있다. 사용자가 MFA를 통해 성공적으로 인증하면 서버는 세션 토큰을 발행하며, 이후 사용자는 이 토큰을 이용해 인증 상태를 유지한다. 공격자는 이 세션 토큰을 탈취함으로써 이미 완료된 MFA 인증 절차를 통째로 건너뛰고 사용자의 계정에 직접 접근한다.

기술적 분석

1. AiTM (Adversary-in-the-Middle) 공격 메커니즘

공격자는 피해자와 실제 서비스 서버 사이에 리버스 프록시(Reverse Proxy)를 배치하여 통신을 중계한다.
- 과정: 피해자가 공격자가 만든 피싱 페이지에 접속 → 공격자 프록시가 실제 서버의 로그인 페이지를 실시간으로 중계 → 피해자가 아이디, 비밀번호 및 MFA OTP/Push 인증을 완료 → 서버가 발행한 세션 토큰이 공격자 프록시를 거쳐 전달됨.
- 결과: 공격자는 실시간으로 탈취한 세션 토큰을 자신의 브라우저에 주입하여, MFA 인증이 완료된 상태로 서비스에 로그인한다.

2. 세션 토큰 탈취 및 악용

• 탈취 경로: AiTM 프록시 외에도 악성코드(Infostealer)를 통해 브라우저의 쿠키 파일에서 세션 토큰을 직접 추출하거나, XSS(Cross-Site Scripting) 취약점을 이용해 토큰을 외부로 유출시킨다.
• 권한 획득: 탈취된 토큰은 유효 기간 내에 동일한 권한을 가지므로, 공격자는 계정 설정 변경, 데이터 유출, 내부망 침투 등의 추가 공격을 수행할 수 있다.

영향 범위

• 클라우드 SaaS 서비스: Microsoft 365, Google Workspace, Okta 등 대규모 클라우드 환경은 세션 유지 시간이 길고 기기 바인딩이 느슨한 경우가 많아 공격에 취약하다.
• 기업 내부망: 한 번의 세션 탈취로 관리자 권한을 획득할 경우, 기업 전체 인프라에 대한 통제권을 상실할 위험이 있다.

대응 방안

1. 대응 우선순위 및 조치 로드맵

효과적인 방어를 위해 위협 레벨과 구현 난이도를 고려한 단계별 조치 계획을 다음과 같이 제시한다.

2. 세부 기술 구현 가이드

• 피싱 내성 MFA 도입: 기존 OTP나 Push 방식 대신 FIDO2/WebAuthn 기반 보안 키를 도입한다. 이는 도메인 바인딩(Origin Binding)을 통해 접속 사이트의 정당성을 검증하므로 AiTM 공격을 원천적으로 방어한다.
• 세션 바인딩 강화: 세션 토큰을 특정 TLS 연결이나 기기 고유 특성(Device Fingerprint)에 결합하여, 토큰이 유출되더라도 다른 환경에서는 사용할 수 없도록 설정한다.
• 실시간 이상 징후 탐지: 동일 세션 내에서 IP 주소가 급격히 변경되거나, 지리적으로 불가능한 위치에서 동시 접속이 발생하는 패턴을 모니터링하여 즉시 세션을 만료시키고 재인증을 요구한다.

참고문헌

• Microsoft Security
• CISA
• FIDO Alliance
• Eva Georgieva, "Inside a session hijacking attack: when MFA doesn’t save you" (Medium)

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.