2FA 인증우회와 단말기 보안강화 방안

모바일 기기는 기존 PC에서 수행하던 인터넷 쇼핑, SNS, 은행업무 등 거의 모든 기능을 대체하고 있으며, 일부는 비즈니스 도구, 인사 및 업무관리 시스템 등 회사업무용으로 사용하기도 합니다. 기업은 업무의 생산성과 효율성을 고려하여, 직원들의 모바일 디바이스 사용을 확대해 나가고 있으며, 이와 더불어 보안에 대한 우려도 증가하고 있습니다.

 

 보안전문가들은 최근 2FA (Factor Authentication) 우회공격에 대해 우려하고 있습니다. 2FA는 기본적인 ID/Password 인증과 사용자의 폰으로 전달된 인증정보를 통해 재인증을 하는 방식을 말합니다. 2FA인증우회 공격은 안드로이드 폰에 심어진 악성코드를 통해 SMS로 전달되는 인증정보 또는 OTP 정보를 탈취하는 방식과 피싱사이트를 통해 사용자의 계정을 리셋하여 사용자의 SMS 인증정보를 가로채는 방식을 사용하고 있습니다.

카스퍼스키의 ”Top7 Mobile Security Threats in 2020“에 따르면, 모바일 디바이스에 대한 보안위협은 지속적으로 증하고 있으며, 다음과 같이 상위 7개 모바일 디바이스 보안위협을 정리하였습니다.

- 데이터 유출

- 안전하지 않은 Wi-Fi

- 네트워크 스푸핑

- 피싱 및 소셜 엔지니어링 공격

- 스파이웨어

- 약한 패스워드, 부적절한 다중인증 또는 부재 등 민약한 사이버 위생

- 부적절한 세션 핸들링, 패치 미흡 시스템, 암호 통제 미흡 등 빈약한 기술수준

 

모바일 보안을 위해 무조건 막고 통제하는 것은 바람직하지 않은 방향일 것입니다. 분명 IT기술을 도입함으로써 얻게 되는 생산성, 효율성, 편리성 등의 혜택이 있고, 이러한 장점들을 잘 살리면서 적정한 보안대책을 선택하고 적용할 필요가 있습니다.

- 응용 프로그램의 화이트리스트 기반 또는 블랙리스트 기반 통제

- 개인 모바일 기기의 사용 허가 또는 업무와 개인용 디바이스에 대한 분리

- 승인된 네트워크 사용 및 보안에 취약한 개방 네트워크(공공장소 또는 자택)의 사용 제한

- MDM, VPN등을 통한 모바일 디바이스 보호 및 응용프로그램 모니터링