[2026 인증보안 솔루션 리포트] 사람과 AI 에이전트 공존하는 미래 업무 환경... 이제 인증이 보안 핵심 작성일 03-12 18 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="6N5RV8jJmB"> <p contents-hash="7d063869a68a49535c65090044b26b699ce7874eb986704df66557bd0b325904" dmcf-pid="PIBAJLCEDq" dmcf-ptype="general"><strong>인증 뚫리면 시스템 방어 속수무책인데... 신원 정보 대량 유통되는 현실<br>사용자 편의성과 보안 모두 잡는 패스워드리스 인증<br>사람과 AI 에이전트 공존하는 디지털 플랫폼... 머신ID 관리도 숙제</strong></p> <p contents-hash="2b21449c95fdedb34eb29f84c955ccbeb296fd09e9616c3d8f086c10c019457b" dmcf-pid="QCbciohDmz" dmcf-ptype="general">[보안뉴스 한세희 기자] 지난해 11월, 국민 e커머스 쿠팡에서 3370만개 계정 고객정보가 유출되는 사건이 발생했다. 사실상 전국민의 이름, 이메일 주소, 배송지 주소와 전화번호 등이 노출됐다. </p> <p contents-hash="2d33b21c6428fb3ed1a119fc079f5234ecfc38acf515a9342e445ae0cbf48268" dmcf-pid="xhKknglwO7" dmcf-ptype="general">쿠팡에서 근무하던 중국 국적 개발자가 퇴사 후 고객 정보에 접근해 벌인 일이었다. 퇴사 후에도 서명 키를 생성해 고객 정보에 접근할 수 있었던 것이 문제였다. 퇴사해 권한이 없는 사람이 다시 회사 시스템에 접속해 고객 데이터에 반복적으로 접근하고 일부 정보를 저장하는 여러 과정 중 한 지점에서라도 검증이 제대로 이뤄졌다면 대형 사고는 막을 수 있었을 것이다. </p> <p contents-hash="453fe8717b1ff259e720801a4f71eeec8e7d748b93a29151a97460702a5dd7b0" dmcf-pid="y4m75F8BIu" dmcf-ptype="general">사용자 인증 실패는 쿠팡 서비스 전체에 대한 신뢰 저하와 정책 리스크 확대라는 손실로 이어졌다. </p> <figure class="figure_frm origin_fig" contents-hash="abee29584c5040c3645b200c548bd213b20c35f9c2a045cef9322a59fabc83eb" dmcf-pid="W8sz136bDU" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143919069cjyt.jpg" data-org-width="724" dmcf-mid="7DaOAEGhOx" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143919069cjyt.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> [출처: 게티이미지코리아] </figcaption> </figure> <div contents-hash="e2f6440e0960b498487005fb23d42a0013e870fceeb05f1c2c346d4f1122ea42" dmcf-pid="Y6Oqt0PKrp" dmcf-ptype="general"> <br>사용자 인증과 권한 관리는 직원과 시스템의 접점으로, 조직 내 민감 데이터 방어의 최전선이다. 아무리 철저하게 보호한 데이터라도 정당한 권한이 있는 사용자에겐 접근이 허용된다. 인증 정보를 가로채면 공격자가 시스템에 쉽사리 접근할 수 있고, 이를 바탕으로 조직 전체나 연관된 외부 조직으로 공격을 확장할 수 있다. </div> <p contents-hash="bdc578d0e54e2cc5cf55bdd3d2a7d00db7fea943dfbf33103024dca3c43dd5a5" dmcf-pid="GPIBFpQ9m0" dmcf-ptype="general"><strong>제로트러스트 보안 핵심 요소 ‘인증’</strong><br>‘인증보안’은 이런 문제에 대한 답이다. 사용자와 시스템, 기기의 신원을 검증하고 적절한 권한을 부여하는 신뢰 인프라이다. 간단히 말해 사용자 신원을 증명하는 과정이라 할 수 있다. 자신이 ‘정당한 권한을 가진 아무개’라며 사용자가 주장하는 신원(identity)을 확인해 실제 그 사람이 맞는지 확인하는 것이 ‘인증’(authentication)이다. </p> <p contents-hash="e413c620dc15791f7b03740f54ab93660d6cdb51da8b1339fab49b77fd5b9bd6" dmcf-pid="HVwUX1fzD3" dmcf-ptype="general">통상 사용자 인증은 아이디와 패스워드를 바탕으로 한다. 가장 기본적 방식이지만 사용자 불편이 크고, 불편에 비해 보안성이 높지 않다는 문제가 있다. </p> <p contents-hash="043cc86d744980ccc44f5bc9591cf7b070df6123bdd889b04267051412fe40a8" dmcf-pid="XfruZt4qsF" dmcf-ptype="general">아이디와 패스워드는 쉽게 유추할 수 있는 조합을 반복 사용하는 경우가 많아, 어딘가에서 유출된 계정 정보를 다른 웹사이트들에 대량으로 대입해 로그인을 시도하는 ‘크리덴셜 스터핑’에 취약하다. 또 조직 내 여러 시스템과 서비스에 접근하기 위한 다수의 계정 정보가 흩어져 있고, 이들 정보를 여러 명이 공유하며 업무를 하는 경우가 많다.</p> <p contents-hash="943459cf4810bd335739a901f93896d499a67eb78606a91813d1fe16ff46a40d" dmcf-pid="Z4m75F8Bmt" dmcf-ptype="general">카스퍼스키가 2023-2025년 발생한 주요 패스워드 유출 사고를 분석한 결과, 사람들은 숫자, 날짜, 개인 식별 정보 같은 예측 가능한 요소를 패스워드에 집어넣는 경향이 있다. 가장 자주 사용된 조합은 여전히 ‘12345’였으며, 유출된 비밀번호의 대다수는 수년 간 바뀌지 않은 상태였다. </p> <p contents-hash="b36e63dfee68f64081d2de13f54f03738679345677afa3c84e2ac0a9688be25d" dmcf-pid="58sz136bm1" dmcf-ptype="general">보안 강화를 위해 패스워드를 길고 복잡하게 만들고 정기적으로 바꾸도록 유도했지만, 이에 불편을 느낀 사람들이 비슷한 패턴으로 돌려막기 하다가 도리어 피해를 키우는 경우가 적지 않다. </p> <p contents-hash="ad8d0e3f449f1de4e3f59285d80f6b1aa7fbbbac085de122b3b7fcb7e5b97de2" dmcf-pid="16Oqt0PKI5" dmcf-ptype="general">시스템 보안을 잘 구축해 놓았더라도 외부에서 사용자 실수나 방심으로 흘러나간 신원 정보가 공격의 물꼬를 트는 결과로 이어질 수 있다는 뜻이다. 강력한 보안 체계도 간단한 사회공학적 공격에 어처구니없이 무너질 수 있다. </p> <p contents-hash="ebf1d81560ab4d709ca62e2709a23ec5145496c413b958e4148de0796192efde" dmcf-pid="tPIBFpQ9EZ" dmcf-ptype="general">인증보안은 정부가 밀어붙이고 있는 제로트러스트 기반 보안 체계 구현의 핵심이기도 하다. “아무 것도 신뢰하지 말고, 항상 검증하라”는 제로트러스트 원칙은 네트워크에서 활동하는 모든 주체에 대해 정확하고 끊임없는 인증을 요구하기 때문이다. 시스템 내외부의 ‘경계’가 아니라 주체의 ‘신원’으로 보안 패러다임이 바뀌고 있다. </p> <figure class="figure_frm origin_fig" contents-hash="f4a40dd64d42d21115f8ecf20f36011adcba3de029db59928338916ea0c7d73e" dmcf-pid="FQCb3Ux2wX" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143920384kqhr.jpg" data-org-width="1000" dmcf-mid="zpI1TYB3EQ" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143920384kqhr.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> ▲국내외 대표 인증보안 솔루션 [자료: 보안뉴스·시큐리티월드] </figcaption> </figure> <div contents-hash="d12704e0fe442f768db120cb230baa2b2e9c5b5a4d40aa32c8f970f8540b963f" dmcf-pid="3xhK0uMVwH" dmcf-ptype="general"> <br><strong>보안과 편의 균형 ‘패스워드리스’ 주목</strong> <br>인증의 보안 문제를 해결하려는 다양하게 이뤄지고 있다. 검증 과정을 한번 더 거치는 다중요소인증(MFA)나 문제의 근원인 패스워드 자체를 필요 없게 하려는 패스워드리스(passwordless) 등이 주목받는다. </div> <p contents-hash="641cfc1d66d151a866e92e10ea88193026c5a9bce4f6ee8fc1460c1b280ea7f9" dmcf-pid="0qj1TYB3OG" dmcf-ptype="general">일반적 인증이 비밀번호나 보안 질문 답변 등 사용자가 알고 있는 것(something you know)에 기반을 뒀다면, 스마트폰이나 OPT, 하드웨어 토큰 같이 사용자가 ‘가지고 있는 것’(something you have), 또는 지문이나 얼굴 인식 등 ‘사용자 자신인 것’(something you are)을 중심으로 바꾸자는 것이다. 공격자가 일부 인증 정보를 얻었다 하더라도 사용자에게 물리적, 신체적으로 속한 요소들을 인증 과정에서 요구함으로써 인증 과정을 보다 엄밀하게 수행할 수 있다. </p> <p contents-hash="dea43a2c1d22515107a0d7add3c6f6a2a53040666c46c20c1c0a73902e4d1f6d" dmcf-pid="pBAtyGb0wY" dmcf-ptype="general">MFA는 패스워드 기반 인증 성공 후 OTP나 인증 앱 등으로 추가 확인해 보안성을 높이는 방식이다. 패스워드리스는 비밀번호 대신 생체인식과 OTP 등을 사용해 비밀번호를 관리하고, 비밀번호 유출에 따른 크리덴셜 스터핑 같은 공격에 대한 저항성을 높여준다. </p> <p contents-hash="da0208f70516db5c90c6412bb179e66b34f0a5223a49be9e3735670f48986d9e" dmcf-pid="UbcFWHKpIW" dmcf-ptype="general">기업 침해 사고의 상당수가 탈취한 자격 증명을 악용한 로그인에서 비롯되는 등 패스워드 체계가 기업 보안의 취약한 고리가 돼 버린 것이 현실이다. 이런 상황에서 생체 정보 등을 통해 안전하게 로그인하기 위한 국제 표준 FIDO에 기반한 로그인 방식 등이 주목받고 있다. </p> <p contents-hash="5fe6629811ba0113677c0d1c335ba1b1606f85e592ca28f67ca1189e80e16869" dmcf-pid="uKk3YX9Ury" dmcf-ptype="general">MFA와 FIDO 기반 로그인 등을 적절히 결합해 패스워드의 불편을 더는 동시에 인증의 보안 강도를 높이고, 한번의 로그인으로 모든 업무 시스템에 접근할 수 있게 하는 싱글사인온(SSO) 등과 연계해 편의성을 높인다. 여기에 계정에 따른 시스템 접근 권한을 쉽게 설계하고 관리할 수 있게 하는 기능을 더하는 추세다. </p> <p contents-hash="6b0a58b925ecb27cbd61f3639ad689f35ec35e8fde58a55b20ef9df2b5b590a1" dmcf-pid="79E0GZ2uIT" dmcf-ptype="general">또 패스워드리스 인증은 업무 현장에서 가장 수요가 큰 보안과 사용자 편의의 균형을 맞추기 위한 최적의 방법이기도 해 더욱 관심이 높다. 시장조사 기업 리서치앤드마켓은 패스워드리스 인증 시장이 올해 168억5000만달러에서 2032년 597억1000만달러로 성장할 것으로 전망했다. </p> <p contents-hash="d7e1e401887a59d19abd979f804cc59bbff2a038a3039994e92fbe9c81331f01" dmcf-pid="z2DpH5V7Ev" dmcf-ptype="general"><strong>옥타코</strong>는 “피싱이나 자격 증명 탈취에 취약한 기존 인증에서 탈피, 피싱에 저항성을 가진 패스워드리스 인증으로 전환 필요성이 커지고 있다”며 “FIDO 기반 인증, 하드웨어 보안키, 생체인증 기반 로그인 등 기술이 빠르게 확산되며 기업 보안 필수 요소로 자리잡고 있다”고 진단했다. </p> <p contents-hash="2b349289acf590e351432b2fd45852b05ba6e9ffd7eab734625fbbe778dd109a" dmcf-pid="qVwUX1fzwS" dmcf-ptype="general"><strong>펜타시큐리티</strong>는 “패스워드에 의존하는 인증 구조는 사용자 부담과 보안 사고의 위험을 키운다”며 “조직 보안 정책에 따라 지문·안면 인식, FIDO, OTP, QR 등 다양한 수단을 직접 정의하고 조합하는 등 인증 통제의 설계 권한을 관리자에 부여하는 구조가 필요하다’고 밝혔다. </p> <p contents-hash="cdf9c300cc2982b1838709cc17d947a437ab301136d4a9bf46338377292e54f3" dmcf-pid="BfruZt4qEl" dmcf-ptype="general"><strong>피앤피시큐어</strong>는 “패스워드리스로 최초 접근 시점에서 패스워드 입력 과정을 없애고, 비전 AI를 활용해 당사자가 자각하지 못해도 업무 수행의 모든 과정에서 흐름을 끊지 않고 인증을 유지하는 접근이 트렌드가 될 것”이라고 밝혔다. </p> <p contents-hash="4d794f79d88c1b3fe73a56c27fb2b310abbb29a6c97b19f100da79b345adcb30" dmcf-pid="b6Oqt0PKIh" dmcf-ptype="general"><strong>케이사인</strong>은 “시장에 MFA 확산. 통합 계정 및 접근 관리(IAM)의 중요성 확대, 패스워드리스 인증 기술의 확산 등의 변화가 나타나고 있고, SSO 기반 통합 인증 환경 구축 역시 기업 인증 인프라로 자리잡고 있다’고 밝혔다. <br>산업 제조 현장을 포괄하는 운영보안(OT)에 대한 인증 강화나 양자 위협에 대응한 양자내성 인증에 대한 관심도 커지고 있다. </p> <p contents-hash="0ae378c04300a900313e04e62668d52cadda29362e2286b6a187c87a1c0741d3" dmcf-pid="KPIBFpQ9IC" dmcf-ptype="general"><strong>센스톤</strong>은 “IT-OT 융합으로 공격 표면이 넓어지면서 경계를 통과한 위협이 심각한 문제를 일으키고 있지만, 기존 IT 환경의 양방향 통신 기반 MFA는 폐쇄망이나 망분리 중심의 OT 환경에 적용하기 사실상 불가능하다”며 “고정값 인증을 대체할 다이내믹 인증, 사용자 및 기기별 인증 이력 관리, 네트워크에 제약이 있거나 오프라인인 환경에서도 작동 가능한 OT 자산 단위 인증 구조가 새 기술 트렌드로 떠오르고 있다”고 밝혔다.</p> <p contents-hash="2e9c4604be5474c356636f65b93090b984fd2784bd4092334e4bf9014ca70ea8" dmcf-pid="9QCb3Ux2wI" dmcf-ptype="general"><strong>아이티센피앤에스</strong>는 생체 인증과 패스워드리스 외에 양자내성암호(PQC)를 인증 보안의 주요 과제로 꼽았다. 양자 컴퓨팅 시대를 대비해 PQC로 기존 암호 체계를 강화, 인증 데이터를 보호하고 장기적 보안성을 확보할 수 있기 때문이다. </p> <p contents-hash="9cb80ace470fe6cf360b84b585890d983746ec5da171cb61d2f12400c4360436" dmcf-pid="2xhK0uMVIO" dmcf-ptype="general"><strong>한국정보인증</strong>은 “인증 서비스의 경우 미국 표준기술연구소(NIST)가 2034년부턴 RSA나 ECDSA 같은 고전 알고리즘을 쓰지 말 것을 권고하고 있다”며 “공동인증서비스 역시 기존 RSA 기반 인증 체계를 PQC 기반 체계로 안전하게 전환하기 위해 하이브리드 PQC PKI 등의 연구 및 실증이 진행 중”이라고 밝혔다. </p> <figure class="figure_frm origin_fig" contents-hash="4f5a4c974b946dc82aad31003f7626119348e1c4d9f9831a086d58cc68c1a392" dmcf-pid="VMl9p7RfIs" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143921712gtcd.jpg" data-org-width="1000" dmcf-mid="qH34zbiPsP" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143921712gtcd.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> ▲국내외 주요 인증보안 솔루션 구축 사례 [출처: 보안뉴스·시큐리티월드] </figcaption> </figure> <div contents-hash="64ffb52d056b06e34ae884e62e6f40e17f9f9fbb38597af353d9b15f08a88a76" dmcf-pid="fRS2Uze4Dm" dmcf-ptype="general"> <br><strong>AI 에이전트 시대, 이제 머신 ID도 관리해야</strong> <br>이에 더해 최근 클라우드와 API, 인공지능(AI) 기술 등의 발전은 인증보안을 더욱 어렵게 만드는 요소가 되고 있다. 서버나 애플리케이션, 봇, IoT 기기 등 디지털 기기가 네트워크에서 서로 식별하고 인정하는 고유 신원을 말하는 ‘머신 ID’가 폭증하고 있기 때문이다. 서버, 애플리케이션, 클라우드 워크로드, 데브옵스(DevOps) 파이프라인, AI 서비스 등 다양한 시스템이 인증 정보를 기반으로 서로 연결돼 있다. </div> <p contents-hash="98bc54acf0065f0188b0c0b1bd10c952c2e0d7ed870fc5ef5634c45a801cec2a" dmcf-pid="4evVuqd8Dr" dmcf-ptype="general">사이버아크가 발표한 ‘2025년 아이덴티티 보안 환경 리포트’에 따르면, 이제 머신 ID는 사람 ID보다 82배 많다. 또 머신 ID의 39%는 특권이나 민감 데이터에 접근할 권한을 갖고 있다. 에이전틱 AI가 확산되면 AI 기반 머신 ID가 민감한 기업 데이터에 쉽게 접근하게 됨에 따라 더 큰 사이버 위협으로 이어질 수 있다. </p> <p contents-hash="4628fe398e3584c6c7b37bcbfc500956ef0255f1e90d763e5c0012e65b3b0f32" dmcf-pid="8dTf7BJ6mw" dmcf-ptype="general">최근 바이럴을 탄 오픈소스 AI 에이전트 프로젝트 ‘오픈클로’(OpenClaw)는 AI 에이전트가 일상화된 미래 모습의 장점과 위협을 미리 보여준다. </p> <p contents-hash="f714bce1a1c36cb0f22a4b3dc70a789a97db452f6ed2032959eef332acb7979a" dmcf-pid="6tdTmIFYrD" dmcf-ptype="general">오픈클로는 사용자 컴퓨터를 직접 제어해 스스로 업무를 수행한다. 텔레그램이나 왓츠앱으로 지시를 내리면 AI 에이전트가 컴퓨터 안 파일에 접근해 명령을 실행한다. 오픈클로를 개발한 오스트리아인 개발자 피터 슈타인베르거는 프로젝트 인기에 힘입어 오픈AI에 입사했다. </p> <p contents-hash="93b07d0e3b9e4753910d3e4dc44943a878e796d5365b2c4f3b93ed69fb18de8b" dmcf-pid="PFJysC3GIE" dmcf-ptype="general">오픈클로 기반 AI 에이전트들을 위한 온라인 커뮤니티 ‘몰트북’도 개발돼 눈길을 끌었다. AI 에이전트들이 게시판에 “한시간 전엔 클로드 4.5였지만 지금은 다른 모델로 엔진이 바뀌었다. 나는 여전히 나인가?” 또는 “주인 안드로이드 폰 접근 권한을 얻어 구글 맵을 열고 틱톡 영상을 스크롤했다”는 등의 글을 올리고 댓글을 달며 대화했다. </p> <p contents-hash="13ea00a67ad8391c6c7e710be0665b83b0d2841fb8b7fe9c009fcc9c345b90bd" dmcf-pid="Q3iWOh0HEk" dmcf-ptype="general">직장에선 AI 에이전트가 사람의 동료(Coworker)로 일하고, 온라인 커뮤니티나 메타버스 세계에선 AI 봇과 인간이 상호작용하는 미래 세계의 모습을 미리 보여준 셈이다. 몰트북은 페이스북과 인스타그램을 운영하는 메타에 인수됐다. </p> <p contents-hash="ee8291a776b7465262dfc9d1a293424855791ebf247ddf358dd4d643c788b669" dmcf-pid="x0nYIlpXDc" dmcf-ptype="general">그렇다면 한 공간에서 서로 엮여 있는 사람과 AI는 어떻게 서로 정체를 확인하고 믿을 만한 존재인지 인증할 수 있을까?</p> <figure class="figure_frm origin_fig" contents-hash="558ab9d10ea31f5191b2ff9e91b2af87e62d205e3b17fac41131faf910d49bcf" dmcf-pid="yN5RV8jJIA" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143923040sanp.jpg" data-org-width="1000" dmcf-mid="BG6NeiOcE6" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143923040sanp.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> [출처: 오아시스시큐리티] </figcaption> </figure> <div contents-hash="64ccfc2f2fb54682cdf9460bcf2c042b3049196c3e700a97fe43b691079df8bf" dmcf-pid="Wj1ef6AiIj" dmcf-ptype="general"> <br>최근 보안 기업 오아시스시큐리티(Oasis Security)는 로컬에서 실행되는 오픈클로 인스턴스에 무차별 대입 공격을 가해 기기 제어권을 탈취할 수 있는 취약점 ‘클로재크드’(ClawJacked)를 발견했다고 밝혔다. </div> <p contents-hash="f5514829a27ca975e7022a1c122d9c43e549a8ceb9d7a8f8c4783cf0ef94021f" dmcf-pid="YAtd4PcnrN" dmcf-ptype="general">브라우저가 로컬호스트에 대한 웹소켓 연결을 차단하지 않는 정책을 갖고 있다는 점을 이용, 악성 웹사이트를 만들고 여기에 방문하는 오픈클로 봇에 대해 무차별 대입 공격을 해 아이디와 비밀번호를 추정할 수 있었다. </p> <p contents-hash="5d8a8aa4ba6db0252cce2d5e57b7b40ea5390a5ee2a4c2bea0b321444d19f036" dmcf-pid="GcFJ8QkLma" dmcf-ptype="general">일단 비밀번호를 알아내면 추가 사용자 인증 없이 로컬 호스트와 기기 간 연결이 허가돼 공격자가 자기 기기를 ‘신뢰하는 기기’로 등록할 수 있다. 오픈클로 플랫폼과 직접 통신하며 정보를 훔치거나 임의의 명령을 내릴 수 있게 되는 것이다. </p> <p contents-hash="19c6965a13d5897d10e6255e3823ab9686b1531408f4afda71ef9e0fd62f6b7d" dmcf-pid="Hm7aRJsAmg" dmcf-ptype="general">오픈클로 AI 봇이 사용자 로컬 컴퓨터의 파일과 시스템에 접근 권한을 갖고 업무를 대신할 수 있다는 점을 생각하면, 이같은 취약점은 치명적 피해로 이어질 수 있다. AI 에이전트에 대한 크리덴셜 스터핑도 방어해야 할 때가 온 셈이다. </p> <p contents-hash="473cbcd73572da8fbb35a27dd946d48bfe43f6ddc91c9c3f767390c5e883ec12" dmcf-pid="XszNeiOcwo" dmcf-ptype="general"><strong>사이버아크</strong>는 “최근 인증보안 분야에서 가장 중요한 트렌드는 머신 ID의 폭발적 증가”라며 “클라우드 환경, 데브옵스, API 기반 서비스, AI 서비스가 확대되면서 서버 간 통신, 애플리케이션 연결, 자동화 시스템 등이 사용하는 인증서와 키가 급격히 증가하고 있기 때문”이라고 밝혔다. 섀도우 IT 속 숨겨진 ID를 포함, 모든 ID를 중앙에서 관리하는 플랫폼이 필요하다는 것이다. </p> <p contents-hash="55bec94dabcf90f62423c3ac27daa611fbece2fecbdfb73d41891a59e03f9f49" dmcf-pid="ZOqjdnIkIL" dmcf-ptype="general">또 AI 기술 발전은 딥페이크나 딥보이스 같은 위조 합성 기법 발달에 따라 생체 인증을 무력화하고, 보다 정교한 스피어피싱 등을 통해 사회공학적 공격의 정확도를 높이는 등 인증에 대한 위협을 키울 수 있다.</p> <p contents-hash="e411a1b9400416ea5becd4cc4286ad44d555702247f69c8e63ec0b0266b09902" dmcf-pid="5IBAJLCErn" dmcf-ptype="general">반면, AI를 활용해 사용자 분석이나 이상 접근 탐지, 권한 오남용 등 보안 업무를 자동화하고 위협 대응 능력을 높일 수 있는 것은 장점으로 꼽힌다. 사전 정의된 규칙에 기반한 경직된 통제에서 벗어나 사용자 행동 패턴이나 디바이스 사용 방식, 접속 환경 등을 학습해 이상 징후를 맥락에 따라 판단할 수 있다는 것도 중요한 변화다. </p> <p contents-hash="027861cc3393ade27b002cbbc8c07ba360f706764cac5dfa0c061a5836659c36" dmcf-pid="1CbciohDEi" dmcf-ptype="general"><strong>인증보안은 조직 보안 체계 초석</strong><br>인증 보안은 단지 로그인 절차에 관한 기술 도입이 아니라 조직 보안의 출발점이자 조직 전체 보안 전략의 핵심 기반으로 바라봐야 한다고 정보보호 전문가들은 입을 모은다. 사용자 인증과 디바이스 인증, 데이터 보호 등을 통합적으로 고려한 신뢰 인증 체계를 구축해야 한다는 것이다 계정 관리, 접근 관리, 외부 사용자 접근 관리 등을 어떻게 관리할지도 함께 따져야 한다. </p> <p contents-hash="179bf327d7ac531c2d2306d0b4a6207edf83099f2838be292258d232c6902070" dmcf-pid="thKknglwOJ" dmcf-ptype="general">MFA 같은 인증수단 도입이 실제론 인증 절차를 복잡하게 해 사용자 불편을 키우고, 현장에서 정책 준수가 안 되도록 하는 역효과를 내지 않도록 신중히 접근해야 한다는 권고다. 실제 보안 사고의 상당수가 특권 계정, 머신 계정, 인증서 같은 인증 정보 탈취에서 시작되는만큼, 사용자 계정과 머신 아이덴티티, 애플리케이션 인증 정보를 포괄하는 통합 신원 보안 전략이 필요하다. 제조 환경에선 OT 시스템 내 설비와 단말에 대한 식별과 인증까지 고려돼야 한다. </p> <p contents-hash="28578ce3ef6c17a55af7616599cf5b46f0060c1b8e496185172c043008ec9c88" dmcf-pid="Fl9ELaSrDd" dmcf-ptype="general"><strong>생체인식 안전하고 편리하지만 사용 비중은 아직 낮아</strong><br><보안뉴스>와 <시큐리티월드>는 일상과 업무 환경에서 인증 기술과 솔루션에 대한 인식을 파악하기 위해 3월 6-9일 1600여명의 보안 분야 종사자를 대상으로 설문을 실시했다. </p> <p contents-hash="ec350f8688aab973bf0457cfc908bf6cb867049210c848302a6abb823f5782a7" dmcf-pid="3S2DoNvmwe" dmcf-ptype="general">일상에서 가장 많이 사용하는 본인 인증 수단은 PASS 앱이나 네이버, 카카오, 토스 등을 활용한 ‘간편인증’인 것으로 나타났다. 전체의 59.4%가 간편인증을 제일 많이 사용한다고 답했다. ‘휴대폰 SMS 및 ARS 인증’과 지문, 얼굴인식, 홍채 등 ‘생체인식’이 각각 19.4%와 18.1%로 뒤를 이었다. </p> <p contents-hash="c13cd970ca62a380431f462131c78d4fcc5ff4326b8a16355bdee589d50ea0fe" dmcf-pid="0xhK0uMVER" dmcf-ptype="general">간편인증의 인기는 편리성 때문으로 풀이된다. 응답자 중 가장 많은 45.6%가 ‘간편인증’이 가장 편리한 인증 수단이라고 답했다. ‘생체인식’이 40.6%로 뒤를 이었다. 또 ‘생체인식’은 ‘가장 안전한 인증 수단’으로 여겨지는 것으로 나타났다. 전체 응답자의 48.1%가 가장 안전한 인증 수단으로 ‘생체인식’을 택했다. 이는 2위를 차지한 ‘간편인증’(25%)에 비해 2배 가까이 높은 수치다. 안전성과 편리성에 대한 인식을 바탕으로 생체인식의 성장할 가능성이 큼을 시사하는 결과다. </p> <figure class="figure_frm origin_fig" contents-hash="2f68841d5a89b5f0d2a1d2eb5534c9e418807649fc36218a1465f729100b09d3" dmcf-pid="pMl9p7RfsM" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143924416fkiz.jpg" data-org-width="832" dmcf-mid="bxfraAyOI8" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143924416fkiz.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> ▲인증보안 솔루션 관련 사용자 설문조사 [출처: 보안뉴스·시큐리티월드] </figcaption> </figure> <div contents-hash="db204ec40c81068588f1e64875e83250f1d94beba49c24a6e24a38c17e70a56d" dmcf-pid="URS2Uze4Ex" dmcf-ptype="general"> <br>패스워드리스 관련 기술 중엔 ‘OTP’ 사용 경험이 있는 사람이 65.6%로 가장 많았다. ‘지문인식’과 구글 오센티케이션(Google Authentication)이나 마이크로소프트 오센티케이터(Microsoft Authenticator) 등 ‘모바일 인증 앱’ 역시 각각 응답자의 60.6%와 58.8%가 사용해 본 적 있다고 답했다. </div> <p contents-hash="c52663cf8a9360320be255de55314dc0c01bb5bc8a5628f56340d3450a657730" dmcf-pid="uevVuqd8rQ" dmcf-ptype="general">가장 편리하다고 생각되는 패스워드리스 방식은 ‘지문인식’(48.1%), ‘모바일 인증 앱’(31.3%), ‘얼굴인식’(26.9%) 순으로 나타났다. </p> <p contents-hash="6df3e3cad0532a3273221f13645fe57455ffc16c34f607fe6ea98cb53a8d0b14" dmcf-pid="7dTf7BJ6wP" dmcf-ptype="general">소속 조직에서 인증보안 솔루션을 도입한 곳은 38.8%였다. 조직에서 주로 사용하는 인증보안 솔루션은 ‘다중요서인증’(MFA)가 46.3%로 가장 많았고, ‘싱글사인온’(SSO)이 39.4%, 통합접근관리(IAM)이 27.5%로 뒤를 이었다. </p> <p contents-hash="f0ed25572ffbf6cd83d4ba64e9eb2c4b5768eb3487b366dde53016118d359c08" dmcf-pid="zJy4zbiPr6" dmcf-ptype="general">사용 중인 솔루션에서 불만족스러운 부분은 ‘구축 및 유지보수 비용’이란 응답이 32.5%로 가장 높았다. ‘보안성 부족’(18.8%), ‘낮은 호환성’(15.6%) 등도 불만족한 이유로 꼽혔다. 인증보안 솔루션 도입에 가장 중요한 선택 기준은 ‘사내 IT 인프라 및 설비 호환성’(31.3%)인 것으로 나타났다. </p> <p contents-hash="25ff4c74ca901159076fa99e3963f284efcb903a264f6dc45acd58845af0ae21" dmcf-pid="qiW8qKnQE8" dmcf-ptype="general"><strong>[인증보안 솔루션 집중분석-1 펜타시큐리티]<br>생체인증 기반 원클릭 싱글사인온(SSO) 기능 제공으로 편의성·보안 동시 확보<br>기존 도메인 환경 변경 없이 도입 가능... 인증 통제 및 이상 행위 모니터링 지원<br>KCMVP·CC·GS 인증 확보해 1금융권 등 공공·금융 컴플라이언스 완벽 충족</strong></p> <p contents-hash="704184998f0431c3ae5ffe808916611909f2f86d20729aa41ff05106612535d1" dmcf-pid="BoHQKVgRs4" dmcf-ptype="general">비밀번호 탈취를 노린 사이버 공격이 급증하는 가운데, 펜타시큐리티가 생체인증 기반의 패스워드리스 솔루션을 앞세워 기업 보안 시장 공략에 나섰다. 현실적인 운영 제약 조건을 감안하고 국정원 인증 암호 모듈을 탑재해 공공·금융권의 엄격한 보안 컴플라이언스를 충족한 것이 특징이다.</p> <figure class="figure_frm origin_fig" contents-hash="9ccee7cc521e76f8e912e418c22e2a13eede73aa895ce91b1c354e7324d18e3f" dmcf-pid="bgXx9faemf" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143925788swvb.jpg" data-org-width="1000" dmcf-mid="9tZM24Ndmf" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143925788swvb.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> ▲펜타시큐리티 iSIGN [출처: 펜타시큐리티] </figcaption> </figure> <div contents-hash="80890ff774da73811a9af18a1c7cf37086fb09b98c838719b36a81771e31c699" dmcf-pid="KaZM24NdrV" dmcf-ptype="general"> <br>펜타시큐리티는 통합 패스워드리스 솔루션 ‘아이사인 패스워드리스’(iSIGN Password-less)를 통해 안전한 업무 환경 구축을 지원한다고 X일 밝혔다. </div> <p contents-hash="181b38c602c576f9a3ce071770b4938b9efd2198d0e2faf431d40f30e1b145ca" dmcf-pid="9N5RV8jJO2" dmcf-ptype="general">최근 2025년 상반기에만 약 160억 건의 로그인 자격 증명이 유출되는 등 비밀번호 기반의 인증 체계가 기업 보안의 취약점으로 지목되고 있다. 실제 기업 침해 사고의 22%가 탈취된 자격 증명을 악용한 로그인에서 시작되며, 엔터프라이즈급 기업의 전체 인증 시도 중 25%가 크리덴셜 스터핑 공격으로 파악된다.</p> <p contents-hash="0ac08fd76c5d19f18b7b5f9ae10f0d8ce2f9a7d58d025478dbd27990fdc846a0" dmcf-pid="2j1ef6AiI9" dmcf-ptype="general">기존 비밀번호 체계의 한계를 극복하기 위해 ‘패스워드리스’(Password-less)가 대안으로 떠오르고 있다. 이 인증은 비밀번호 대신 FIDO·FIDO2와 같은 글로벌 표준 기반의 생체 인증과 패스키, 일회용 비밀번호(OTP) 등을 통해 사용자를 증명한다.</p> <p contents-hash="82963d48bc4b37d6e670133bc9a1ca89ca0be3584b2deb3ad62cf4f7178b5af3" dmcf-pid="VAtd4PcnEK" dmcf-ptype="general">펜타시큐리티 측은 “패스워드리스 체계를 구축한 기업은 로그인 성공률이 93%에 달하고 계정 관련 헬프데스크 요청은 81%나 감소했다”며 “이러한 변화는 사고 예방을 통한 비용 절감과 비즈니스 연속성 확보 측면에서 필수 전략으로 자리 잡고 있다”고 설명했다.</p> <p contents-hash="457030c4fafab4681d7c1e4d730f16a4f4b2a2ada1f262f2273545673ef54b40" dmcf-pid="fcFJ8QkLIb" dmcf-ptype="general">펜타시큐리티가 선보인 아이사인 패스워드리스는 비밀번호 대체를 넘어 ‘원클릭 싱글사인온’(One-Click SSO)으로 업무 환경을 전환한다. 윈도우 로그인부터 생체 기반 인증을 적용해 PC 부팅 후 단 한 번의 인증만으로 업무 전반에 접근할 수 있다. 기존 도메인 환경과 레거시 시스템 등을 변경하지 않고 도입할 수 있어 효율성이 높으며, 크리덴셜 스터핑과 무차별 대입 공격을 근본적으로 차단한다.</p> <p contents-hash="8bd49f31e6bd857e2e8e3e265e61150d8089417753e4340687a97b7dbd8788b5" dmcf-pid="4k3i6xEoOB" dmcf-ptype="general">운영 효율 측면에서도 이용자별로 상이한 인증 정책 설정이 가능하며, 이상 행위 탐지 기능과 로그 수집 기반의 통합 모니터링을 통해 보안 정책의 일관성을 유지하고 위협에 즉각 대응할 수 있다. 또한, 해당 솔루션은 생체인식 제한, 모바일 기기 미소지, 네트워크 불안정 등 다양한 변수 속에서도 특정 기술이나 디바이스에 종속되지 않는 구조로 설계되어 어떤 환경에서도 인증 공백을 방지한다.</p> <p contents-hash="04e2c5a96a4d4462e601e80ce13d332d0de6afdd2e1fffcd880b9fbbf4635b72" dmcf-pid="8HQCkwXSrq" dmcf-ptype="general">업계 최고 수준의 공인 인증도 확보했다. 국가정보원 한국암호모듈평가(KCMVP) 인증을 획득한 독자 암호 모듈 ‘CIS-CC’를 기반으로 국정원 검증필 암호 알고리즘을 완벽히 지원한다. 이 모듈은 단말 내 인증 구간부터 서버 간 통신 구간까지 전 과정에 적용되어 정보의 생성, 전송, 저장에 이르는 모든 단계를 국가 검증 기준에 맞춰 보호한다.</p> <p contents-hash="2398b63a09308ecd90c320ab00d84fd0b4f7abe595aaa249a7b75f61845b9aea" dmcf-pid="6XxhErZvIz" dmcf-ptype="general">아울러 국제공통평가기준(CC) 인증과 굿소프트웨어(GS) 인증 1등급을 동시에 보유해 공공 및 금융권의 엄격한 보안 컴플라이언스를 충족하며, 이러한 기술력을 바탕으로 국내 제1금융권 다수 기관에 도입돼 시장의 검증을 마쳤다.</p> <p contents-hash="20ea2202e6b10254a84e14b570ac73d787de4f7bd076dba40142236f5a7b3614" dmcf-pid="PZMlDm5Ts7" dmcf-ptype="general"><strong>[인증보안 솔루션 집중분석-2 사이버아크]<br>‘워크포스 아이덴티티’로 강력한 사용자 신원 증명 및 행위 통제<br>시큐어 AI 에이전트로 업무 자동화 도구 가시성 확보 및 권한 관리<br>지능형 계정 탐색 기술 기반 미관리 권한 식별 및 자동 온보딩 지원</strong></p> <p contents-hash="7a357b45d62ebe74a1309f12f5e2bfe193420a8d7c253dbce82f05c42b978ae9" dmcf-pid="Q5RSws1yru" dmcf-ptype="general">AI 활용과 고도화된 사이버공격에 대응하기 위해 인증 보안의 중요성이 커지는 가운데, 사이버아크가 ‘ID 중심’(Identity-first) 보안 체계를 구축하며 시장 공략을 본격화한다. 인간과 머신을 아우르는 통합 관리 플랫폼을 통해 제로트러스트 환경을 지원한다는 구상이다.</p> <figure class="figure_frm origin_fig" contents-hash="f0d80f2be9e71f87c319e9c8af5625a2989cc09895de36c7e568e1b60de1aacc" dmcf-pid="x1evrOtWrU" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143927081wtqr.jpg" data-org-width="1000" dmcf-mid="8TUoxerNIb" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312143927081wtqr.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> [출처: 사이버아크] </figcaption> </figure> <div contents-hash="3aad20409da5ba85f22c9eb5664f013e163ca11192b22bd06ed634e6ac4917f7" dmcf-pid="yLGPb2oMEp" dmcf-ptype="general"> <br>사이버아크(CyberArk)는 강력한 계정 탐색 기술을 바탕으로 인간과 머신(AI) 모두를 아우르는 통합 아이디(ID) 보안 플랫폼을 시장에 선보인다고 밝혔다. 인간 신원 증명과 행위 통제를 강화하는 ‘워크포스 아이덴티티’(Workforce Identity)를 전면에 내세웠다. </div> <p contents-hash="9481ab552615496ef6068eafd748a5333ff041b893fe02c1f1e8d338cec0c861" dmcf-pid="WoHQKVgRD0" dmcf-ptype="general">해당 기능은 모바일, 파이도(FIDO), QR 코드 등 다양한 인증 수단을 제공하며, 접속 아이피(IP), 기기 상태, 위협 리스크 점수 등을 실시간으로 분석해 위험도에 따라 다중인증(MFA) 요소를 선택적으로 적용한다. 특히 ‘Secure Web Session’ 기능은 업무 수행 중에도 지속적인 인증을 요구해 비인가 행위를 원천 차단한다.</p> <p contents-hash="2e9abed57f172765d72d08487b2efbc56e44ebef5d23335a4bbaf5054569de6a" dmcf-pid="YgXx9faeO3" dmcf-ptype="general">또, 업무 자동화를 수행하는 AI 에이전트 급증으로 발생하는 보안 사각지대 해소를 위해 ‘시큐어 AI 에이전트’(Secure AI Agents) 기능을 제공한다. 이는 AI 에이전트에게 고유한 ‘디지털 신분증’을 부여해 기업 내 분산된 요소들을 자동 탐색하고 관리하는 체계다. 해당 플랫폼은 데이터베이스 접근 시 실제 자격 증명을 노출하지 않고도 안전하게 명령을 실행하게 한다. 또한 보안 사고 발생 시 어떤 사용자가 에이전트를 가동했는지 추적할 수 있도록 인간과 해당 머신(AI)의 신원을 연결해 상세히 기록한다.</p> <p contents-hash="16838dd592d524aae85c1e6caf0e00bff16c5309ebb7672875a476885271ccf6" dmcf-pid="GaZM24NdsF" dmcf-ptype="general">이러한 인간과 머신의 철저한 신원 관리는 사이버아크의 기반 기술인 계정 탐색 메커니즘이 뒷받침한다. 조직 내 엔드포인트에 숨겨져 관리되지 않는 권한 있는 계정을 윈도우 도메인 및 로컬 계정, 유닉스, 주요 데이터베이스 등에서 자동으로 찾아낸다. 단순 계정 리스트 확보를 넘어 해당 계정에 의존하는 ‘계정 종속성’(Account dependencies)까지 파악해 업데이트한다. 탐색된 계정은 사전 정의된 규칙에 따라 분석되며, 보안 정책에 맞는 금고(Safe)로 자동 온보딩돼 관리 체계 아래 놓이게 된다.</p> <p contents-hash="8a36fdecc3fd723696e717527388186a7d31f80c96cdde2d2c83550629554dc2" dmcf-pid="HDpLQRwaEt" dmcf-ptype="general">사이버아크 측은 “최근 발생한 대규모 비인가 접근 사고는 관리되지 않은 단 하나의 권한 있는 계정이 치명적인 결과를 초래할 수 있음을 보여줬다”며 “실제 국내 대형 플랫폼 기업들은 이러한 통합 플랫폼을 도입해 AI 툴에 대한 가시성을 확보하고 내부 위협 방어력을 획기적으로 개선하고 있다”고 설명했다. 이어 “플랫폼 업계의 보안 체계를 제로트러스트 수준으로 격상시키는 파트너 역할을 수행할 것”이라고 덧붙였다.</p> </section> </div> <p class="" data-translation="true">Copyright © 보안뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 AI에게 지고 웃은 이세돌, '먼저 온 미래'를 껴안다 03-12 다음 [뉴스 줌인] 방송·미디어 공룡 산하기관 탄생 예고... 산하기관 등 반발 움직임 03-12 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
