강한 MFA를 사용해도 이메일·지원센터 같은 계정 복구 경로가 약하면 어떤 공격 경로와 정책 문제가 생기나요?

MFA를 통과하는 정상 로그인만 강하게 만들어도 이메일 링크, 백업 코드 재발급, 지원센터 수동 승인 같은 복구 경로가 약하면 공격자는 그 경로를 선택합니다. 계정 접근의 보안 수준은 가장 약한 우회 경로에 의해 결정되므로, 복구를 로그인과 별개인 편의 기능으로 취급하지 않고 동일한 자산에 대한 권한 상승 흐름으로 평가해야 합니다.

복구 수단의 신뢰도를 나눕니다

보안 키가 등록된 계정에서 이메일 링크 하나로 모든 MFA를 삭제하게 하면 이메일 계정 탈취가 보안 키를 우회합니다. 이메일은 유용한 보조 증거일 수 있지만, 그 자체로 원래 MFA의 소유권을 증명한다고 단정하지 않겠습니다. 복구 코드, 이미 인증된 기기, 기존 MFA의 재인증, 계정의 위험 신호를 조합하고, 각 수단이 어떤 민감 작업까지 허용하는지 등급을 정합니다. 새 전화번호·이메일 등록과 MFA 제거는 단순 로그인보다 높은 등급을 요구할 수 있습니다.

복구 토큰은 예측 불가능하게 만들고 짧은 만료·단일 사용·원자적 소비를 적용합니다. ‘알림을 보냈다’는 것은 사용자가 알았을 가능성을 높이는 통제이지 소유권 증명 자체가 아닙니다. 복구가 성공하면 기존 세션·refresh token을 전부 회수할지, 사용자가 확인한 기기만 유지할지 정책을 명시해야 합니다. 공격자가 이미 세션을 확보했을 가능성이 높다면 전체 회수를 우선하고, 정상 사용성 손실은 재로그인 절차로 회복시키겠습니다.

사람과 운영 절차도 보안 경계입니다

지원센터가 신분증 이미지나 공개된 개인정보 몇 개만 보고 MFA를 해제하면 사회공학 공격의 표면이 됩니다. 담당자에게 최소 권한을 주고, 고위험 복구에는 이중 승인·지연·사용자 알림·감사 기록을 둡니다. 담당자가 계정의 비밀값을 직접 보거나 임의로 새 자격을 만들지 않도록 전용 복구 절차와 사유 코드를 사용하겠습니다. 개인정보 수집은 필요한 만큼만 하고, rate limit과 반복 실패 감지도 둡니다.

복구 정책은 보안만 높이면 끝나지 않습니다. 기기 분실 뒤 영구 잠금이 되면 사용자가 위험한 우회 경로를 찾을 수 있습니다. 그래서 충분한 증명 없이 즉시 고위험 기능을 허용하는 대신, 복구 직후 결제·자격 변경을 일정 시간 제한하고 기존 채널로 알림을 보내 이상 징후를 신고할 기회를 주는 방식이 가능합니다. 알림을 기다리는 동안에도 이미 탈취된 세션을 막는 조치는 별도입니다.

검증은 정상 복구뿐 아니라 코드 동시 사용, 만료 후 재사용, 이메일만 탈취한 경우, 지원 담당자 권한 남용, 복구 직후 기존 세션 사용, 기기별 회수 정책을 재현합니다. MFA 등록률만 보지 않고 복구 성공·실패, 재설정 후 고위험 작업, 신고와 회수까지의 시간을 관찰해야 합니다. 좋은 정책은 ‘MFA가 강하다’가 아니라 모든 접근 경로가 요구하는 증명과 허용 권한이 일관된다는 것을 보여 줍니다.

복구 플로우에는 위험 기반 판단을 넣되, 사용자의 비밀 질문을 많이 모으는 방식으로 대체하지 않겠습니다. 새 기기·새 지역·대량 로그인 실패·최근 이메일 변경이 겹치면 자동 복구 대신 지연과 추가 증명을 적용합니다. 복구 승인 전후로 사용자가 등록한 기존 채널에 ‘새 자격이 추가됐다’는 알림을 보내고, 알림의 링크는 단순 취소나 즉시 소유권 주장으로 오용되지 않도록 별도 인증을 요구합니다. 복구 기록에는 증명 유형·승인자·정책 버전·허용된 기능을 남겨 사후에 왜 MFA 제거가 허용됐는지 재현할 수 있어야 합니다. 정책을 강화할 때는 정상 사용자의 복구 완료율과 공격 의심 복구의 차단율을 함께 비교하겠습니다.

복구 승인 자체도 계정 상태 변경으로 기록하고, 이메일 변경·MFA 제거·새 기기 등록이 한 요청에서 연쇄적으로 일어나지 않도록 단계를 나누겠습니다. 위험 신호가 낮아 자동 복구된 경우에도 새 자격으로 곧바로 대량 결제나 보안 설정 변경을 허용하지 않고, 재인증 전까지 기능 범위를 제한할 수 있습니다. 이 제한은 사용자의 복구를 거부하는 것과 달리 계정 접근과 고위험 변경을 분리하는 장치입니다.