핵심 POINT
MFA(다중요소인증)를 적용했더라도 인증 이후 발급된 유효한 세션 정보가 탈취·재사용되면, 공격자가 추가 인증 없이 정상 사용자의 계정에 접근할 위험이 있습니다.
AiTM(Adversary-in-the-Middle) 피싱은 정상 로그인 과정을 실시간으로 중계해 인증정보와 세션 토큰을 가로채는 공격입니다. 2026년 4월에는 26개국 1만 3,000개 이상 조직의 사용자 3만 5,000명 이상을 겨냥한 캠페인이 확인됐습니다.
계정 보안은 로그인 시점의 인증뿐 아니라 세션 유효기간과 재인증 정책, 이상행위 모니터링까지 함께 관리해야 합니다. 침해가 의심되면 세션과 토큰을 신속히 무효화하고, 실제로 접근이 차단됐는지도 확인해야 합니다.
MFA 이후에도 발생하는 계정 탈취, 세션 하이재킹 공격과 대응 방법
다중요소인증(MFA)은 비밀번호 외에 추가 인증 수단을 요구해 계정 보호 수준을 높이는 중요한 사이버 보안 기술입니다. 공격자가 노리는 대상은 로그인 정보에만 국한되지 않습니다. 사용자가 인증을 마친 뒤 유지되는 로그인 상태 역시 공격에 악용될 수 있습니다.
온라인 서비스는 사용자가 매번 로그인하지 않아도 이용할 수 있도록 세션 쿠키나 인증 토큰 등의 정보를 활용합니다. 공격자가 이러한 정보를 탈취해 유효한 로그인 상태를 재사용할 수 있다면, 추가 인증 없이 계정에 접근할 위험이 있습니다. 이러한 해킹 방식을 세션 하이재킹(Session Hijacking)이라고 합니다.
이번 글에서는 AiTM 피싱과 인포스틸러를 통한 세션 탈취 방식, 최근 공격 사례, 기업이 확인해야 할 계정 보안 관리 항목을 살펴봅니다.
■ MFA 이후 세션 하이재킹의 주요 공격 방식
출처 : Magnific
세션 하이재킹은 정상 사용자의 로그인 상태를 탈취해 계정에 접근하는 해킹 공격 방식입니다. 공격자는 로그인 과정에 개입해 세션 정보를 가로채거나, 악성코드를 이용해 기기에 저장된 쿠키를 수집할 수 있습니다.
1) AiTM 피싱, 로그인 과정에서 세션 정보 탈취
AiTM(Adversary-in-the-Middle) 피싱은 공격자가 사용자와 정상 로그인 페이지 사이에 중계 서버(리버스 프록시)를 두는 방식입니다. 사용자는 실제 로그인 화면에서 아이디·비밀번호를 입력하고 MFA 인증까지 정상적으로 완료하지만 이 과정 전체가 공격자의 인프라를 거쳐 중계됩니다. 인증이 끝나면 서버가 발급하는 세션 토큰을 공격자가 가로채고, 이 토큰으로 계정에 접근합니다.
사용자 입장에서는 정상적으로 로그인한 것이기 때문에 피싱을 당한 사실을 인지하기 어렵습니다. 따라서 MFA 인증을 정상적으로 완료했더라도 이후의 계정 접근까지 안전하다고 단정할 수는 없습니다.
2) 인포스틸러, 브라우저에 저장된 세션 쿠키 탈취
AiTM 피싱 외에도 인포스틸러(정보 탈취형 악성코드)를 이용해 브라우저에 저장된 세션 쿠키와 인증정보를 수집하는 공격이 발생하고 있습니다. 공격자는 탈취한 세션 정보를 다른 환경에서 재사용해 정상 사용자의 로그인 상태를 악용하려고 시도합니다.
세션 정보가 유효하고 별도의 기기 검증이나 재인증 정책이 적용되지 않는 경우에는 비밀번호나 MFA를 다시 입력하지 않고도 계정에 접근할 수 있습니다. 다만 실제 공격 성공 여부는 서비스의 세션 보호 설정에 따라 달라집니다.
보안업체 스파이클라우드(SpyCloud)는 2026년 발표한 보고서에서 2025년 한 해 동안 악성코드 감염 등으로 탈취된 세션 쿠키 등 세션 정보 약 86억 건을 수집했다고 밝혔습니다. 이는 인증 이후의 세션 정보 역시 공격자의 주요 수집 대상이 되고 있음을 보여줍니다.
3) 개인 계정까지 노리는 쿠키 탈취 공격
인포스틸러를 통한 세션 쿠키 탈취는 기업 업무 계정뿐 아니라 개인이 이용하는 온라인 서비스에도 영향을 미칠 수 있습니다.
노드VPN(NordVPN)이 공개한 브라우저 쿠키 분석에서는 주요 OTT(온라인 동영상 서비스)와 소셜미디어 서비스의 세션 정보도 공격자의 수집·악용 대상이 되고 있는 것으로 나타났습니다. 공격자는 유효한 세션 쿠키를 재사용해 비밀번호를 입력하지 않고 계정에 접근하려고 시도할 수 있습니다.
다만 탈취된 쿠키가 모두 실제 계정 탈취로 이어지는 것은 아닙니다. 로그인 상태와 쿠키의 유효성, 서비스별 추가 인증 정책 등에 따라 공격 성공 여부는 달라질 수 있습니다.
| 구분 | AiTM 피싱 | 인포스틸러 |
|---|---|---|
| 주요 탈취 시점 | 사용자가 로그인하는 과정 | 로그인 이후 기기에 저장된 세션 정보 수집 |
| 공격 방식 | 공격자 서버를 거쳐 로그인 과정을 중계 | 악성코드로 브라우저의 쿠키 등 인증정보 탈취 |
| MFA와의 관계 | 피싱에 취약한 MFA를 완료한 뒤 발급된 세션 정보 탈취 가능 | 이미 발급된 세션 정보를 악용해 추가 인증 없이 접근 시도 |
[표] AiTM 피싱과 인포스틸러 기반 세션 탈취 비교
두 공격은 세션 정보를 확보하는 과정이 다르지만, 탈취한 정보를 이용해 정상 사용자의 로그인 상태를 악용할 수 있다는 공통점이 있습니다. 실제 세션 재사용 가능 여부는 토큰의 유효 여부와 서비스의 보안 정책에 따라 달라집니다.
■ 세션 하이재킹 공격 사례와 주요 특징
출처 : Magnific
1) 스타킬러(Starkiller), 실제 로그인 화면을 악용하는 피싱 서비스
2026년 2월 보안업체 애브노멀 시큐리티(Abnormal Security)가 분석한 스타킬러(Starkiller)는 정상 서비스의 로그인 화면을 공격자 인프라를 통해 중계하는 서비스형 피싱(PhaaS, Phishing-as-a-Service) 플랫폼입니다.
기존 피싱은 실제 서비스와 유사하게 만든 가짜 로그인 페이지를 쓰는 경우가 많았습니다. 반면 스타킬러는 정상 로그인 페이지를 불러와 사용자에게 보여주고, 인증 과정에서 입력되는 정보와 세션 토큰을 수집하도록 설계됐습니다.
공격자는 관리 화면에서 공격 대상 서비스를 선택하고 피싱 링크를 구성할 수 있어, 공격에 필요한 기술적 준비 부담을 낮출 수 있습니다. 이러한 방식은 로그인 화면의 외형만으로 피싱 여부를 판단하기 어렵게 만듭니다.
2) 마이크로소프트 로그인 화면을 악용한 대규모 피싱 캠페인
2026년 4월 14일부터 16일까지 마이크로소프트(Microsoft) 로그인 화면을 악용한 대규모 피싱 캠페인이 확인됐습니다. 이 캠페인의 공격 대상에는 26개국 1만 3,000개 이상 조직의 사용자 3만 5,000명 이상이 포함됐습니다.
공격자는 행동 강령(Code of Conduct) 위반 검토를 안내하는 이메일로 사용자를 유인했습니다. 이어서 여러 확인 페이지를 거치게 한 뒤, 정상 로그인 과정을 중계하는 AiTM 방식으로 인증정보와 세션 토큰을 탈취하려 했습니다.
이 사례는 정상 로그인 절차가 공격자의 인프라를 거쳐 중계될 수 있으며, 피싱에 취약한 인증 방식만으로는 계정을 완전히 보호하기 어렵다는 점을 보여줍니다.
■ 기업이 점검해야 할 MFA 및 세션 보안 관리 항목
출처 : Magnific
MFA를 적용한 기업은 로그인 과정의 인증 방식뿐 아니라 세션의 유지·갱신·종료 기준까지 함께 확인해야 합니다. 특히 사용자와 기기의 상태가 달라지거나 비정상적인 계정 활동이 감지됐을 때 추가 인증과 접근 제한이 적절히 이뤄지는지 점검하는 편이 좋습니다. 기업이 확인해야 할 주요 항목은 다음과 같습니다.
| 점검 항목 | 주요 확인 내용 |
|---|---|
| 피싱 저항형 MFA | FIDO2 기반 패스키 등 피싱 저항형 인증을 적용하고, 취약한 대체 인증 경로를 점검하고 있는가? |
| 세션 유효기간 | 세션 쿠키·액세스 토큰·리프레시 토큰의 유효기간과 갱신 정책을 확인하고 있는가? |
| 위험 기반 재인증 | 새로운 기기나 비정상적인 접속 등 위험 신호가 발견되면 추가 인증을 요구하는가? |
| 이상행위 모니터링 | 대량 메일 발송, 평소와 다른 파일 다운로드 및 계정 설정 변경 등을 탐지하고 있는가? |
| 침해 의심 시 세션 차단 | 계정 침해가 의심되면 세션·토큰을 무효화하고 남아 있는 접근 가능성을 확인하는 절차가 있는가? |
| 감염 단말 점검 | 쿠키 탈취가 의심되는 기기를 격리·점검하고 악성코드를 제거한 뒤 신뢰할 수 있는 환경에서 계정 보호 조치를 진행하는가? |
[표] MFA 이후 세션 관리 점검 항목
세션 무효화와 재인증 정책은 서비스 및 인증 시스템에 따라 적용 방식이 다를 수 있습니다. 따라서 기업은 실제 사용 중인 계정 관리 환경에서 세션 종료 요청이 어떻게 반영되는지 확인하고, 침해 의심 계정의 추가 접근을 제한하는 대응 절차를 마련하는 것이 좋습니다.
FIDO2 기반 패스키는 인증 대상 서비스의 도메인과 연결돼 작동하므로, 사용자를 가짜 사이트로 유도하는 일반적인 AiTM 피싱에 강한 보호 효과를 제공합니다. 다만 로그인 이후 세션 정보를 탈취하는 공격까지 막는 것은 아니므로 별도의 세션 보호 정책이 필요합니다.
계정 정보 유출이 의심될 때 필요한 비밀번호 변경, 감염 단말 점검 등 기본 대응 절차는 아래 SK쉴더스 콘텐츠를 함께 참고하시기 바랍니다.
▶ 240억 건 계정정보 노출, 비밀번호 변경만으로 끝내면 안 되는 이유
■ 인증 이후까지 이어지는 계정 보안 관리의 중요성
세션 하이재킹은 사용자 인증을 마친 뒤에도 접근 상태를 계속 확인해야 한다는 점을 보여줍니다. 기업은 사용자와 기기의 신뢰 수준, 접근권한, 이상행위 등을 종합적으로 판단해 보안 정책을 적용하는 편이 좋습니다.
SK쉴더스는 국내외 보안 가이드라인을 반영한 제로트러스트 방법론으로, 도입 수준을 진단하는 성숙도 평가부터 아키텍처 설계, 보안 환경 구축, 운영 체계 수립까지 기업 환경에 맞는 사이버 보안 체계를 지원합니다. 네트워크·엔드포인트·클라우드를 아우르는 통합 보안 체계에 가시성 기반 위협 탐지와 대응 체계를 더해 기업의 보안 운영 강화를 돕습니다.
■ 자주 묻는 질문 (FAQ)
Q. MFA를 적용했는데도 계정 탈취가 가능한가요?
A. MFA는 로그인 단계의 계정 보호를 강화하지만, 인증 이후 발급된 유효한 세션 정보가 탈취되면 추가 인증 없이 접근이 시도될 수 있습니다. AiTM 피싱과 인포스틸러를 이용한 세션 하이재킹이 대표적인 공격 방식입니다. 다만 실제 접근 가능 여부는 세션 보호 정책에 따라 달라집니다.
Q. 패스키를 쓰면 AiTM 피싱을 막을 수 있나요?
A. FIDO2 기반 패스키는 정상 서비스의 도메인과 연결해 인증하므로 일반적인 AiTM 피싱에 강한 보호 효과를 제공합니다. 다만 이미 로그인된 기기에서 세션 정보가 탈취되는 공격까지 차단하는 것은 아닙니다. 따라서 패스키와 함께 세션 관리 및 이상행위 모니터링이 필요합니다.
Q. 비밀번호를 바꾸면 세션 탈취 피해도 멈추나요?
A. 비밀번호를 변경하더라도 기존 세션이나 일부 인증 토큰이 일정 시간 유효할 수 있습니다. 계정 침해가 의심된다면 비밀번호 변경과 함께 활성 세션 및 관련 토큰의 무효화 절차를 진행하고, 접근 차단 여부를 확인해야 합니다. 악성코드 감염이 의심되는 기기는 별도로 점검하는 것이 좋습니다.
Q. 개인 사용자도 세션 하이재킹 위험이 있나요?
A. 인포스틸러에 감염된 기기에서는 기업 업무 계정뿐 아니라 개인이 이용하는 온라인 서비스의 세션 정보도 탈취될 수 있습니다. 출처가 불분명한 프로그램이나 파일은 설치하지 않도록 주의하고, 계정에서 의심스러운 활동이 확인되면 안전한 기기에서 로그인 기록과 활성 세션을 점검하는 것이 좋습니다.
[콘텐츠 내용 출처]
• "MFA도 무용지물?" 스타킬러 피싱 키트 이용한 계정 탈취 공격 확산 | 보안뉴스
• Starkiller: New Phishing Framework Proxies Real Login Pages to Bypass MFA | Abnormal AI
• 노드VPN "해커, 유튜브·넷플릭스 비번 몰라도 쿠키로 뚫는다" | 테크월드
• How AitM phishing kits steal session tokens after MFA | SpyCloud
