1만 달러짜리 피싱 키트, 해킹된 계정에 지속적 접근을 위한 위조 Passkey 심자 주장

(theregister.com)

1만 달러 상당의 새로운 피싱 키트 'iAuthFlow v2'가 브라우저 중간자 공격(BitM)을 통해 사용자의 계정에 공격자 제어용 패스키를 몰래 등록함으로써, 비밀번호 변경 후에도 지속적인 계정 접근 권한을 확보할 수 있다는 사실이 밝혀져 보안 위협이 커지고 있습니다.

이 글의 핵심 포인트

11만 달러 규모의 iAuthFlow v2 피싱 키트가 러시아어권 포럼에서 판매 중임
2브라우저 중간자(BitM) 모델을 사용하여 사용자의 인증 정보를 가로채고 공격자 패스키를 등록함
3공격자는 인증 완료 후 단 6초 만에 타겟 계정에 자신의 패스키를 생성할 수 있음
4패스키가 등록되면 피해자가 비밀번호를 변경하더라도 공격자의 지속적인 접근이 가능함
5구글, iCloud, LinkedIn, Microsoft 등 주요 서비스가 공격 대상에 포함됨

이 글에 대한 공공지능 분석

왜 중요한가?

패스키는 피싱 방지 기술로 각광받고 있으나, 이 키트는 패스키 등록 단계 자체를 탈취함으로써 차세대 보안 표준의 허점을 공략합니다. 단순한 비밀번호 재설정만으로는 공격자의 지속적인 접근을 막을 수 없다는 점이 핵심입니다.

어떤 배경과 맥락이 있나?

최근 인증 보안은 비밀번호에서 패스키(WebAuthn)로 이동하는 추세이며, 이에 따라 공격자들은 세션 탈취나 브라우저 중간자(BitM)와 같은 고도화된 우회 기술을 개발하고 있습니다.

업계에 어떤 영향을 주나?

서비스 운영 기업들은 계정 침해 사고 발생 시 비밀번호 변경뿐만 아니라 등록된 패스키, OAuth 권한, 복구 이메일 등 모든 인증 수단을 전수 조사해야 하는 운영 부담을 안게 되었습니다.

한국 시장에 어떤 시사점이 있나?

글로벌 표준인 패스키를 도입 중인 국내 핀테크 및 IT 스타트업들은 사용자 편의성을 넘어, 인증 수단 등록 과정에서의 이상 징후 탐지(Anomaly Detection) 로직을 보안 아키텍처에 반드시 포함해야 합니다.

이 글에 대한 큐레이터 의견

이번 iAuthFlow v2의 등장은 '패스키가 만능 보안책'이라는 믿음에 경종을 울립니다. 공격자들은 이제 인증 수단 자체를 뚫는 것이 아니라, 인증이 완료된 직후의 '권한 확장 단계'를 노리고 있습니다. 스타트업 창업자들은 패스키 도입이 가져올 사용자 경험(UX)의 혁신과 보안성 향상이라는 이점 뒤에 숨은 새로운 공격 표면(Attack Surface)을 인지해야 합니다.

물론 패스키는 여전히 기존의 SMS나 OTP 방식보다 피싱 저항성이 훨씬 높습니다. 하지만 이번 사례처럼 '등록 프로세스'를 타겟팅하는 공격이 가능해진 만큼, 보안 설계 시 인증 수단의 '생성 및 변경' 단계에 대한 엄격한 검증 로직을 추가해야 합니다. 즉, 패스키 도입 비용과 복잡도가 상승하더라도, 등록 시점에 추가적인 기기 확인이나 생체 인증을 요구하는 등의 다중 방어 계층(Defense in Depth) 구축이 필수적입니다.

원문 보기 →