생성형 AI 기반의 자동화 크리덴셜 스터핑 공격이 급증함에 따라 기존 지식 기반 비밀번호 체계는 한계에 봉착했다. 비밀번호 복잡성 정책이 초래하는 보안과 편의성의 역설을 극복하기 위해 소유인증, 기기인증, FIDO2 패스워드리스(Passwordless)가 유기적으로 결합된 차세대 멀티인증(MFA) 아키텍처 구축이 시급하다. CISO 및 보안 결정권자를 위한 3단계 실행 가이드라인과 비즈니스 연속성 확보 전략을 제시한다.

1. AI와 자동화 공격의 대중화: 전통적 비밀번호 방어 체계의 기술적 붕괴

과거 사이버 침투가 독보적인 기술 역량을 보유한 일부 해커 조직의 전유물이었다면, 2026년 현재의 사이버 위협은 생성형 AI와 노코드 공격 프레임워크의 대중화로 인해 근본적인 패러다임 전환을 겪고 있다. 바이브 코딩 등으로 쉽게 제작할 수 있는 공격 도구는 고도의 프로그래밍 지식이 없는 초급 공격자에게도 강력한 무기를 제공하고 있다. 공격자들은 AI를 활용하여 특정 기업 임직원으로 완벽히 위장한 다국어 피싱 메일을 대량 자동 생성한다. 동시에 보안 담당자가 미처 파악하지 못한 내부 시스템의 미세한 취약점을 실시간 탐지하고 타격하는 지능형 공격을 감행하고 있다.

이러한 위협 환경에서 기업이 수집·관리하는 고객 개인정보와 핵심 지식재산권은 일차적인 표적이 된다. 특히 계정 유출로 시작되는 2차 범죄는 개별 기업의 재무적 손실에 그치지 않고, 징벌적 손해배상과 브랜드 신뢰도 추락이라는 파국적인 결과를 초래한다. 개인정보보호법을 비롯해 EU GDPR, NIST SP 800-63-4 등 글로벌 규제 프레임워크가 강화되는 이유도 기업이 자발적으로 강력한 계정 방어 수단을 마련하도록 강제하기 위함이다. 그러나 여전히 많은 기업이 단일 비밀번호 체계라는 취약한 보안 체계 뒤에 중요한 내부 자산을 방치하고 있는 것이 냉혹한 현실이다.

2. CISO의 치명적 경계 대상: 크리덴셜 스터핑과 내부 침투 메커니즘

인프라 보안의 최대 화두는 '비밀번호가 과연 진정한 비밀을 보장하는가'에 대한 의문이다. 대부분의 기업 보안 정책은 8~12자리 이상의 영문 대소문자, 숫자, 특수문자를 조합하도록 강제하며, 90일 단위의 정기적 변경을 요구한다. 그러나 정작 이러한 규칙을 준수해야 하는 인간의 기억 능력에는 명확한 한계가 존재한다.

업무상 수십, 수백 개의 내부 시스템과 SaaS 애플리케이션에 접근해야 하는 임직원들은 복잡한 비밀번호를 기억하기 어려워 유사한 패스워드를 여러 사이트에 재사용하거나, 엑셀 파일 및 메모장에 평문으로 저장하는 보안 부주의를 범한다. 공격자들은 이 점을 집요하게 파고든다.

공격자들은 딥웹과 다크웹 등에서 유출된 타사 계정 데이터베이스를 수집한 후, 자동화된 봇넷을 통해 목적 기업의 로그인 엔드포인트에 무차별 대입하는 크리덴셜 스터핑 공격을 감행한다. 이 공격 형태의 치명성은 기업이 아무리 수십억 원을 투입해 차세대 방화벽을 구축하고 데이터베이스를 암호화했더라도, 정당한 사용자의 로그온 자격 증명을 획득해 정문으로 들어오는 침입자를 방화벽 수준에서 가려내기 불가능하다는 데 있다.

3. 지식 기반 인증의 한계: 복잡성 증대와 보안 효율성의 역설

기억에 의존하는 지식 기반 인증은 보안성을 높이려고 시도할수록 사용자 편의성이 극단적으로 저하되는 '보안과 편의성의 역설'에 직면한다. 비밀번호 복잡성 정책은 아이러니하게도 직원들이 인지하기 쉬운 패턴(예: Password1!, Spring2026!)을 양산하게 만들며, 정기적 변경 강제는 기존 단어 끝의 숫자나 특수문자만 1자리씩 변경하는 편법을 유도한다. 이는 공격자의 알고리즘 분석 패턴 내에 완벽히 들어맞는다. 결과적으로 지식 기반 단일 인증 체계는 다음과 같은 세 가지 심각한 비즈니스 리스크를 발생시킨다.

1) 계정 탈취에 따른 침입 위험: 단 한 번의 피싱 사이트 접속이나 단말기 악성코드 감염만으로 자격 증명이 노출된다.

2) 운영 비용 증가: IT 지원 부서에 접수되는 문의 중 30~50%가 비밀번호 재설정과 관련된 요청으로 불필요한 인력 자원이 소모된다.

3) 규제 준수 실패: ISMS-P, SOC2, ISO27001 등 국내외 보안 인증 표준에서 요구하는 강력한 접근 통제 요건을 충족하지 못해 법적·재무적 리스크에 직면한다.

따라서 기업 보안 리더십은 지식 기반 단일 인증의 종말을 공식적으로 인정하고, 공격자가 가로챌 수 없는 요소들로 구성된 차세대 인증 아키텍처로 조속히 이행해야 한다.

4. 차세대 멀티인증(MFA) 아키텍처: 소유·기기·FIDO2의 유기적 결합

단일 패스워드의 한계를 극복하기 위한 해법은 소유인증, 기기인증, 그리고 FIDO2/Passkey 기술이 유기적으로 결합된 제로트러스트 기반 멀티인증(MFA) 아키텍처를 구현하는 것이다.

4.1. 소유 기반 인증: 물리적 통제의 수립

소유인증은 "사용자가 무엇을 소지하고 있는가"를 검증한다. 사용자가 독점적으로 제어할 수 있는 물리적·논리적 장치를 검증 인자로 사용한다.

• 작동 원리: 모바일 스마트폰, 하드웨어 보안 토큰, 전용 인증 앱을 활용한다.
• 보안적 의의: 공격자가 인공지능을 활용해 사용자의 비밀번호를 해독하더라도, 사용자의 손에 쥐어진 물리적 단말을 물리적으로 탈취하거나 통신 채널을 점유하지 못하는 한 내부 접근이 불가능하다. 이는 계정 탈취 공격의 난이도를 비약적으로 높인다.
• 주의 사항: SMS 기반 OTP는 SS7 프로토콜 취약점을 악용한 SIM 스와핑 공격에 노출될 수 있으므로, PKI 기반 모바일 푸시(Push) 인증이나 TOTP(Time-based OTP)를 우선 채택해야 한다.

4.2. 기기 기반 인증: 제로트러스트 단말 검증

기기인증은 로그인 프로세스가 수행되는 단말기(노트북, 스마트폰 등) 자체가 기업이 신뢰할 수 있는 인가된 단말인지를 검증하는 기술이다.

• 작동 원리: 단말기 내부의 보안 칩셋(TPM, Secure Enclave)에서 추출한 고유 식별 정보와 보안 상태(OS 패치 여부, 백신 가동 상태, 디스크 암호화 여부)를 수집하여 사전 등록된 화이트리스트 디바이스 DB와 대조한다.
• 보안적 의의: 공격자가 유출된 임직원 계정 정보를 획득했더라도, 기업 통제 범위 외의 미인가 단말기에서 접속을 시도하면 즉시 차단된다. 또한, 단말기 내부의 보안 영역에 저장된 암호화 키는 외부 유출이 불가능하여 악성코드 감염 시에도 안전하다.

4.3. FIDO2/Passkey 기반 패스워드리스(Passwordless) 인증: 기술적 완성

FIDO 2.0 및 Passkey 표준은 소유인증과 기기인증의 장점을 집대성한 차세대 글로벌 인증 표준이다. FIDO2는 비대칭 공개키 암호화 알고리즘에 기반하여 작동한다.

FIDO2 패스워드리스 인증 구조는 두 가지 결정적인 보안 이점을 제공한다.

첫째, 생체 정보의 완전한 보호다. 지문, 안면 등의 생체 정보는 네트워크를 통해 서버로 전송되지 않으며, 오직 사용자 단말 내부의 하드웨어 보안 영역에서만 검증된다.

둘째, 서버 측 데이터 유출 리스크의 근본적 제거다. 서버에는 비밀번호나 생체 데이터가 저장되지 않고 오직 공개키만 존재한다. 따라서 기업의 중앙 인증 서버가 완전히 해킹당하더라도 공격자가 탈취할 수 있는 비밀번호 데이터 자체가 존재하지 않는다. 이는 피싱 사이트로 유도해 자격 증명을 갈취하는 중간자 공격을 완벽히 차단한다.

5. 비즈니스 결정권자를 위한 3단계 보안 전환 실행 가이드라인

성공적인 멀티인증 및 패스워드리스 체계로의 전환을 위해 CISO 및 IT 보안 결정권자는 다음과 같은 단계별 실행 프레임워크를 추진해야 한다.

Phase 1: 계정 위협 진단 및 레거시 비밀번호 정책 개편

• 내부 인프라 및 사용 중인 SaaS의 인증 방식을 전수 조사한다.
• 보안성 향상에 도움이 되지 않고 직원의 불만을 야기하는 형식적인 90일 비밀번호 변경 강제 정책을 폐지한다.
• SIM 스와핑 위험이 있는 SMS/이메일 OTP 인증을 단계적으로 중단한다.

Phase 2: FIDO2 및 기기 기반 MFA 통합 플랫폼 구축

• 전사 IAM(Identity and Access Management) 및 SSO(Single Sign-On) 체계에 FIDO2/Passkey 표준을 연동한다.
• 임직원 업무용 단말기에 대한 TPM 기반 기기인증을 적용하여 인가된 단말에서만 접근을 허용한다.
• 하드웨어 암호 모듈(HSM) 기반으로 모바일 푸시 MFA 인프라를 구축한다.

Phase 3: 지속적인 제로트러스트 체계 확장

• 사용자 위치, IP, 단말 상태, 접속 시간 등 컨텍스트를 지속적으로 평가하는 상황 인지형 접근 제어를 도입한다.
• 사용자 역할과 리스크 수준에 따라 동적으로 인증 요건을 조정하는 적응형 MFA 정책을 완성한다.

결론: 보안은 기술의 도입이 아닌 비즈니스 연속성의 확보이다

비밀번호 중심의 보안 모델은 수명을 다했다. AI로 무장한 공격자들의 지능형 침투를 막아내고 기업의 핵심 자산을 지키는 유일한 길은 소유·기기·FIDO2 기반의 멀티인증 체계로의 조속한 전환뿐이다. CISO와 비즈니스 결정권자는 멀티인증 도입을 단순한 IT 지출이나 규제 준수를 위한 비용으로 바라보아서는 안 된다. 이는 계정 탈취 리스크를 원천 제거함으로써 기업의 브랜드 가치를 지키고 비즈니스 연속성을 담보하는 최고의 전략적 투자이다.