드림시큐리티, AI 계정탈취 대응 'FIDO2 생체인증' 제안 작성일 10-08 66 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="fnGijgUZwv"> <p contents-hash="0f03aa07d6476ecb906e9a446f0b4816987d7509fce4ea9197a64d45def87d2e" dmcf-pid="4po0B7rNmS" dmcf-ptype="general"><strong>금융권 연쇄 침해사고 계기로 인증·접근권한 관리 중요성 부각<br>‘Magic FIDO’ 패스워드리스 인증과 ‘Magic ICAM’ 제로트러스트 접근통제 결합<br></strong><br></p> <figure class="figure_frm origin_fig" contents-hash="400f924984f649a9db722642b63454fe4d35ae22b9c1d22fefdd693b44d1d80f" dmcf-pid="8UgpbzmjIl" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/08/etimesi/20261008080246825gbdh.png" data-org-width="400" dmcf-mid="VK9CWvRfET" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/08/etimesi/20261008080246825gbdh.png" width="658"></p> </figure> <p contents-hash="63e33834b77c1f43ead86a2cd250ad6ea219e9e035e56632936ceb77bb23a774" dmcf-pid="6uaUKqsAmh" dmcf-ptype="general">금융권을 겨냥한 인공지능(AI) 기반 사이버 공격이 확산하면서 비밀번호에 의존하는 기존 인증체계의 보안 강화 필요성이 커지고 있다. 드림시큐리티가 비밀번호를 사용하지 않는 FIDO2 생체인증과 제로트러스트 기반 접근통제를 결합해 계정탈취와 비인가 접근 위험을 줄이는 방안을 제시했다.</p> <p contents-hash="d1f17dad1447d7fbc7ed5f6bd78c83b0a37b807c09f8ebeae03be0bba8accf53" dmcf-pid="P7Nu9BOcOC" dmcf-ptype="general">인증보안 전문기업 드림시큐리티(대표 오석주)는 최근 금융권에서 잇따른 침해사고를 계기로 FIDO2 기반 생체인증과 통합 신원·권한 관리를 중심으로 기초보안을 강화해야 한다고 8일 밝혔다.</p> <p contents-hash="23da11ddadf8cdae1010c5eaecfbff969c7cdb29479fb6b7593dc7533e5d9c07" dmcf-pid="Qzj72bIkDI" dmcf-ptype="general">최근 은행과 저축은행, 캐피털사 등 7개 금융회사에서 침해사고가 연이어 확인되면서 금융권의 인증체계 점검 필요성이 부각됐다. 금융보안원은 금융권을 대상으로 한 AI 에이전트 기반 공격 시도를 탐지했다고 밝혔으며, 금융당국은 인증 절차의 누락·우회 가능성과 외부 접근권한 관리 실태를 점검하도록 주문했다.</p> <p contents-hash="69e44ca973f016abbf3267ddf46918b133b6453335a356ebc36da3e5aabbff55" dmcf-pid="xqAzVKCEwO" dmcf-ptype="general">드림시큐리티는 이번 사고가 기존 망분리 중심 보안체계의 한계를 보여주는 사례일 수 있다고 분석했다. 금융회사가 AI 전환(AX)을 추진하면서 클라우드와 오픈 API, 서비스형 소프트웨어(SaaS) 등 외부 서비스와의 연계를 확대하고 있지만 대출모집인이나 외주 인력이 이용하는 업무 시스템 등 외부 접점의 인증·인가 관리가 취약하면 정보 유출로 이어질 수 있다는 설명이다.</p> <p contents-hash="5404910c2af613150608205df19325ce1760c3d1f6064b3c157ea7a330b79a86" dmcf-pid="yDUEImfzDs" dmcf-ptype="general">특히 공격자가 외부에 노출된 업무 시스템의 취약점을 이용해 진입한 뒤 계정 정보를 탈취하거나 확보한 계정으로 내부 시스템에 접근하면 피해가 확대될 수 있다고 지적했다.</p> <p contents-hash="174d50d9247e9f2224216878456ea59de43ef199dbaf7d95723a416fd382dfc4" dmcf-pid="WwuDCs4qOm" dmcf-ptype="general">AI 기술이 사이버 공격의 자동화와 속도를 높이는 점도 주요 위험 요인으로 꼽았다. 공격자가 직접 탐색하던 취약점을 AI로 찾아내고 유출된 계정 정보를 반복 대입하는 크리덴셜 스터핑이나 피싱, 계정탈취 공격을 빠르게 수행할 수 있기 때문이다.</p> <p contents-hash="3f1b2622ed4ae0a46827ce155ee387a3394fb7bace272f7dfb7c441d62b9a2b3" dmcf-pid="Yr7whO8Brr" dmcf-ptype="general">드림시큐리티가 제안한 첫 번째 대응 방안은 비밀번호 자체를 사용하지 않는 패스워드리스 방식의 FIDO2 생체인증이다.</p> <p contents-hash="1a5d7e39466be47e8c681c1ba53bfb2774c5ec1c0e4b5134f116a10eeabe4a58" dmcf-pid="GmzrlI6bww" dmcf-ptype="general">FIDO2는 비밀번호 대신 단말에 저장된 개인키와 생체인증 등을 활용하는 인증 표준이다. 서버에 재사용 가능한 비밀번호를 저장하지 않아 서버 침해에 따른 인증정보 유출 위험을 줄일 수 있다. 인증 과정에서 접속 사이트의 도메인을 검증하기 때문에 피싱 사이트에서 인증정보가 악용될 가능성도 낮춘다.</p> <p contents-hash="fe04b6ff20042b3f79373764d378ca8199080a5def243509c43c669592336e49" dmcf-pid="HsqmSCPKOD" dmcf-ptype="general">드림시큐리티는 이러한 기술을 적용한 '매직(Magic) FIDO'를 공급하고 있다. 매직 FIDO는 FIDO v1.0(UAF)과 FIDO2 규격에 대해 FIDO 얼라이언스 인증과 GS인증을 획득한 제품으로 금융권과 공공기관의 패스워드리스 인증 환경 구축을 지원한다.</p> <p contents-hash="d6634c3ee17948d7e6596a9b7282518765ee595e2f288f4a80922a05cc123f37" dmcf-pid="XOBsvhQ9sE" dmcf-ptype="general">두 번째 대응 방안은 제로트러스트 기반의 통합 신원·권한 관리체계 구축이다. 제로트러스트는 네트워크 내부와 외부를 구분해 신뢰하기보다 모든 접근 요청에 대해 신원과 권한을 지속적으로 검증하는 보안 방식이다.</p> <p contents-hash="6a32da4b68ad0fa851270346bce258709303a35e594aff2ac58f3853274362af" dmcf-pid="ZQhPJRZvDk" dmcf-ptype="general">드림시큐리티의 '매직 ICAM'은 사용자와 접근 주체의 신원, 자격증명, 권한을 중앙에서 통합 관리하는 솔루션이다. 사용자와 접속 상황에 따른 다중요소인증(MFA) 정책을 지원하고 API 게이트웨이를 통해 다양한 보안 서비스와 정보시스템을 연계할 수 있다.</p> <p contents-hash="7b6c7717e767a637b854122254be1869489b32b54d4bf8d9088a59bf1567abe6" dmcf-pid="5xlQie5Twc" dmcf-ptype="general">또 MFA와 통합인증(SSO) 등 기존 인증·보안 솔루션과 실시간으로 연동해 접근통제 체계를 구성한다. 이를 통해 금융당국이 강조한 인증 절차 점검과 최소 권한 원칙을 시스템 차원에서 구현하도록 지원한다는 구상이다.</p> <p contents-hash="56cff4442bfba6b83d733bb2e528a8384cee9a07ba3e38ce3b0bccad9e7b547a" dmcf-pid="1MSxnd1yDA" dmcf-ptype="general">드림시큐리티는 FIDO2 기반 패스워드리스 인증과 제로트러스트 접근통제를 함께 적용하면 계정탈취 위험을 줄이는 동시에 외부 인력과 임직원의 업무 시스템 접근을 보다 체계적으로 관리할 수 있을 것으로 기대하고 있다.</p> <p contents-hash="6ffc2877502813ff829e5fd034c7bffdb85c78d6096e73cd45b9101c8089d9d7" dmcf-pid="tRvMLJtWIj" dmcf-ptype="general">오석주 드림시큐리티 대표는 “모든 취약점을 사전에 제거하기는 현실적으로 어려운 만큼 인증이라는 기초보안부터 다시 점검하는 것이 AI 시대의 계정탈취 위협에 대응하는 하나의 방안이 될 수 있다”며 “검증된 매직 FIDO를 바탕으로 금융권과 공공기관이 안전하고 편리한 패스워드리스 환경으로 전환할 수 있도록 적극 지원하겠다”고 말했다.</p> <p contents-hash="95401f7607934cb3542eba5d3a0e54a43fae537fd3952164cb4e4bfa91924c4d" dmcf-pid="FeTRoiFYEN" dmcf-ptype="general">권상희 기자 shkwon@etnews.com</p> </section> </div> <p class="" data-translation="true">Copyright © 전자신문. 무단전재 및 재배포 금지.</p> 관련자료 이전 [소셜＋] "안한글 안사요"는 옛말…해외 대작부터 인디까지 '한국어 탑재' 10-08 다음 6개월후 변경해도 위약금…휴대폰 '최적요금 고지' 효과 있나 10-08 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
