세션 토큰 탈취와 MFA의 한계
다중요소 인증을 적용했더라도 인증 후 발급된 세션 정보가 탈취되면 비정상 접근이 발생할 수 있습니다. 로그인 이후의 접근도 보호해야 합니다.
사례로 보는 문제
가상의 사례입니다. 회사가 MFA를 적용했는데 사용자가 승인하지 않은 파일 다운로드가 확인됐습니다. 해당 행위 직전에 추가 인증 요청은 없었습니다. 이때 비밀번호 유출뿐 아니라 기존 세션의 악용 가능성도 조사해야 합니다. 다만 추가 인증이 없었다는 사실 자체는 침해의 증거가 아닙니다.
세션이 재사용되는 조건을 확인합니다
서비스는 로그인 후 매번 인증하지 않도록 세션 쿠키나 토큰을 이용합니다. 공격자가 이를 탈취하고 서비스가 해당 정보의 재사용을 허용하면 사용자를 가장한 접근이 가능할 수 있습니다. 모든 토큰이 같은 방식으로 재사용되는 것은 아니며, 유효기간·사용 대상·기기 결합 여부 등이 영향을 줍니다.
탈취 경로에는 피싱과 단말 악성코드 등이 있습니다. 접속 IP의 변화만으로 행위자나 감염을 확정하지 않고, 인증기록과 서비스 이용기록, 기기 정보와 시간 흐름을 대조합니다. VPN·모바일망·프록시의 영향도 확인합니다.
인증과 세션 보호를 함께 적용합니다
MFA는 여전히 중요한 보호수단입니다. 피싱 저항성이 높은 인증, 관리되는 기기에서의 접근, 세션 보호와 이상행위 탐지를 함께 검토합니다. 피싱에 강한 인증을 사용해도 이미 감염된 단말의 모든 위험이 사라지는 것은 아닙니다.
침해 대응에서는 비밀번호 변경만으로 끝내지 않습니다. 계정 차단, 세션·토큰 무효화와 탈취 원인 제거를 서비스 특성에 맞게 수행합니다. 무효화가 기존 접근 토큰이나 서비스 세션에 즉시 적용되는지는 별도로 확인해야 합니다.
실무에서 확인할 사항
- 인증·토큰 발급·파일 열람 및 다운로드 기록의 연결
- 정상 업무와 다른 IP·기기·사용자 에이전트·행위
- 피싱·악성코드 등 탈취 경로를 뒷받침하는 자료
- 세션·토큰 무효화의 적용 범위와 실제 차단 결과
- 로그 보존 범위와 재발 방지 설정
