패스키 50억 개 시대 — 그런데 MFA 피로 공격은 왜 계속 통하나
전 세계 패스키가 50억 개를 넘었고 조직의 68%가 도입했습니다. 그런데도 57%는 여전히 피싱 가능한 인증에 의존합니다. 그 틈에서 푸시 밤빙이 작동합니다. 실제 사건과 방어 우선순위를 정리했습니다.
패스키는 확실히 자리를 잡았다
FIDO Alliance의 State of Passkeys 2026은 10개국 소비자 11,000명과 기업 의사결정자 1,400명을 조사했다.
· 인지도 90% (2025년 75% → 상승)
· 75%가 최소 한 계정에 패스키 활성화
· 49%가 가능할 때 정기적으로 사용
· 조직의 68%가 임직원 로그인에 도입했거나 도입 중
· 상위 100개 웹사이트 중 48%가 패스키 제공 (2022년의 두 배 이상)
· 로그인 성공률 약 93% vs 기존 방식 63%
업종별 도입률은 갈린다 — 핀테크 약 60%, 이커머스 35%, B2B SaaS 28%, 미디어 18%.
그런데 57%는 아직 피싱 가능한 인증을 쓴다
같은 조사에서 조직의 57%가 여전히 주 로그인에 피싱 가능한 인증 수단에 의존한다는 결과가 나왔다. 패스키를 "도입했다"는 것과 "주 인증으로 쓴다"는 것 사이에 큰 간극이 있다. 그 간극이 공격 면이다.
MFA 피로 공격 — 이제 예외적 수법이 아니다
MITRE ATT&CK은 이 기법을 Multi-Factor Authentication Request Generation (T1621)로 추적한다. 기업 침해 조사에서 가장 빈번한 초기 침투 기법 중 하나로 기록되고 있다.
- Verizon 2025 DBIR — 침해의 22%가 탈취된 자격증명에서 시작. 자격증명 오남용이 지배적 진입 경로이며, 기존 MFA가 무너지고 있다고 지적. 공격자는 프롬프트 밤빙, 토큰 탈취, AitM 피싱킷을 조합한다
- Microsoft Digital Defense Report 2025 — 피싱 저항 MFA는 공격자가 유효한 자격증명을 가진 경우에도 신원 기반 공격의 99% 이상을 차단
- Microsoft는 Entra ID 전반에서 초당 약 7,000건의 비밀번호 공격을 차단. 2025년 상반기 신원 기반 공격 32% 급증
- Okta 기준 2025년 1월 임직원 MFA 도입률 70%
실제 사건 — 같은 각본이 반복된다
2022년 Uber 침해는 Lapsus$ 조직원이 협력업체 직원에게 몇 시간 동안 푸시 알림을 퍼부어 결국 하나가 승인되면서 시작됐다.
2025년 초 Marks & Spencer에서 같은 각본이 반복됐다. Scattered Spider가 자격증명 탈취 · 헬프데스크 사회공학 · MFA 피로를 조합해 DragonForce 랜섬웨어를 배포했고, 약 1,049개 매장이 차질을 빚고 주가가 7% 하락했다.
방어 — 단계별 우선순위
넘버 매칭(number matching)은 CISA가 권고하는 중간 단계 방어이며, Microsoft · Okta 등 주요 IdP에서 기본 활성화됐다. 다만 이것은 임시 방편이다.
가장 강력한 방어는 패스워드리스 피싱 저항 MFA다. FIDO2 하드웨어 토큰이나 플랫폼 패스키는 로그인을 암호학적으로 도메인에 결박하기 때문에 원격 푸시 밤빙 자체가 성립하지 않는다.
실무 체크리스트
- ☐ 1순위 — 관리자 · 특권 계정부터 FIDO2 / 패스키로 전환
- ☐ 2순위 — 넘버 매칭 활성화 (전환 완료 전 임시 방어)
- ☐ 단순 승인형(approve/deny) 푸시 MFA 비활성화
- ☐ 헬프데스크 MFA 재설정 절차 강화 — 신원 확인 다중화, 통화 녹취
- ☐ 짧은 시간 내 반복 MFA 요청에 대한 탐지 룰 및 자동 잠금
- ☐ AitM 피싱킷 대비 — 세션 토큰 바인딩, 비정상 위치 재인증
- ☐ 협력업체 · 외주 인력 계정도 동일 정책 적용 (Uber 사례의 진입점)