기업들이 다중 인증(MFA) 시스템과 조건부 액세스 정책을 통한 로그인 보안에 막대한 비용을 투자하고 있음에도 불구하고, 이러한 모든 방어 체계를 무너뜨릴 수 있는 '백도어'가 여전히 존재합니다. 바로 기술 지원 데스크(Service Desks)를 통한 액세스 복구 프로세스입니다. 문제는 액세스 권한을 상실했을 때의 검증 기준이 일반적인 로그인 기준보다 훨씬 취약하여 사회 공학 기법에 큰 문을 열어주고 있다는 점입니다.
지식 기반 검증 모델의 붕괴
많은 기술 지원 데스크는 여전히 직속 상사 이름, 부서, 기타 개인 정보와 같은 지식 기반 검증(Knowledge-based verification)과 같은 전통적인 신원 확인 방식을 사용합니다. 이 모델은 오늘날의 디지털 시대에는 더 이상 안전하지 않습니다. 공격자들은 LinkedIn, 기업 공식 웹사이트, 심지어 유출된 데이터를 통해 이러한 정보를 쉽게 수집할 수 있습니다.
공격자가 이러한 세부 정보를 확보하면 직원을 사칭하여 기술 지원 담당자를 설득해 비밀번호를 재설정하거나 새로운 인증 장치를 등록하게 함으로써, 계정을 기술적으로 해킹할 필요 없이 MFA 보호를 우회할 수 있습니다.
인공지능: 사회 공학의 새로운 무기
공격은 더 이상 전통적인 피싱 이메일에 국한되지 않으며, 생성형 AI 덕분에 훨씬 더 복잡한 수준으로 진화했습니다. 데이터는 공격자들의 수법에 위험한 변화가 있음을 시사합니다:
- 딥페이크(Deepfakes): 공격자들은 음성 변조 기술을 사용하여 직원의 목소리를 흉내 낼 수 있으며, 이로 인해 기술 지원 직원이 실제 발신자와 사기꾼을 구별하기가 매우 어려워졌습니다.
- 공격 성공률 증가: 2026년 Verizon 보고서에 따르면, 문자 메시지와 음성 통화를 통한 사회 공학 기법은 이메일 피싱보다 40% 더 높은 성공률을 기록했습니다.
- 범위 확대: Gartner의 설문조사에 따르면, 지난 한 해 동안 62%의 기업이 딥페이크 공격이나 자동화된 사회 공학 기법 공격을 경험했습니다.
실질적으로 무엇이 변화해야 하는가?
이 취약점을 극복하려면 단순히 직원을 교육하는 것을 넘어 계정 복구 프로세스의 구조를 근본적으로 변경해야 합니다. 직원의 '직관'이나 목소리, 말투를 구별하는 능력에 의존하는 것으로는 더 이상 충분하지 않으며, 검증 과정을 필수적이고 협상의 여지가 없는 기술적 단계로 전환해야 합니다.
안전한 디지털 검증으로의 전환에는 다음이 포함됩니다:
- 지식 기반 질문을 이메일, 문자 메시지(SMS) 또는 외부 인증 앱(예: Duo)을 통해 전송되는 코드와 같은 디지털 검증 수단으로 대체합니다.
- 디지털 검증이 성공한 후에만 민감한 작업(예: 비밀번호 재설정)이 실행되도록 기술 지원 데스크 워크플로우 내에 검증 프로세스를 통합합니다.
- '이 사람이 정말 직원인가?'라는 결정을 내리는 데 있어 인적 요소에 대한 의존도를 줄이고, 디지털 증거에 기반한 기술적 결정으로 전환합니다.
액세스 복구 경로의 보안을 소홀히 하는 것은 단순히 보안 위험을 초래할 뿐만 아니라 막대한 운영 비용을 발생시킵니다. 비밀번호 재설정 1건당 비용은 약 70달러로 추산되며, 이는 해킹이나 비체계적인 지원 요청으로 인해 발생하는 직원 생산성 저하 및 가동 중단 시간과는 별개의 문제입니다.