Executive Summary

2025년의 공격자는 비밀번호를 훔치는 수준을 넘어
세션·토큰·SSO·MFA·OAuth 권한·클라우드 키까지
모든 인증 재료를 “AI가 자동으로 조합·분석·재사용”하는 공격 방식으로 진화했다.

Credential Harvesting 2.0은 다음 특징을 가진다:

• 단일 인증 요소가 아니라 전체 인증 흐름을 공격

• MFA 우회가 기본 옵션이 됨

• AI가 인증 토큰의 구조적 약점을 자동 분석

• 브라우저·모바일·클라우드 환경을 통합 타깃팅

• Token Replay, Token Forgery, Token Rehydration 자동화

이는 사실상 기업의 모든 계정이 털릴 수 있는 시대가 됐다는 의미다.

---

1. 왜 Credential Harvesting이 2.0으로 진화했는가

1) 인증 체계가 복잡해짐

OAuth, SAML, OpenID Connect, FIDO2 등으로
인증 구조 자체가 다층화됐다.

공격자는 이를 수동으로 분석할 수 없지만
AI는 수초만에 전체 인증 다이어그램을 재구성한다.

---

2) MFA는 더 이상 방어책이 아님

MFA Fatigue 공격, Push Bombing,
그리고 AI가 만든 발신자 사칭 메시지로
사용자는 쉽게 속는다.

AI는 사용자 심리 기반 공격을 자동으로 설계한다.

---

3) 세션 기반 인증이 증가

브라우저·앱 세션이 길어지면서
“비밀번호 없이도 계정 탈취”가 가능해졌다.

AI는 세션 토큰을 분석해
재사용 가능한지 실시간 판단한다.

---

4) 클라우드 확산으로 인증 스코프 폭증

AWS Access Key, Azure Token, GCP Service Account 등
하나만 펌프되면 전체 인프라가 뚫린다.

AI는 이 키들의 권한 구조를 자동 정렬하여
최적의 공격 경로를 탐색한다.

---

2. Credential Harvesting 2.0의 공격 구조 (6-Phase Pipeline)

---

Phase 1. Multi-Source Data Acquisition

AI가 인증 정보 단서를 수집한다:

• 브라우저 쿠키

• 로그인 히스토리

• 자동완성 데이터

• 클라우드 API 키

• 모바일 토큰

• 인증 메타데이터

• SSO Redirect 정보

• Password Reset 흐름

이 모든 데이터를 통합하여 “계정 상태 모델”을 생성한다.

---

Phase 2. Protocol-Aware Token Analysis

AI가 인증 프로토콜을 자동 분류:

• JWT

• OAuth2 Refresh Token

• SAML Assertion

• Session Cookie

• IdToken 구조

AI는 토큰의 만료 조건, 서명 구조, 무결성 상태를 분석하고
재사용 가능한 토큰을 자동으로 선별한다.

---

Phase 3. Session Hijack & Rehydration

세션을 탈취하면 끝이 아니다.

AI는 다음 단계를 수행한다:

• 세션 연장 우회

• Refresh Token 자동 획득

• 세션 재생성(Session Rehydration)

• Session Binding 무력화

이 단계에서 사용자가 로그아웃해도
공격자는 다시 로그인 상태를 복원할 수 있다.

---

Phase 4. MFA Evasion Engine

AI는 다음을 통해 MFA를 무력화한다:

• 발신자 사칭 메시지 자동 생성

• Push Bombing 타이밍 최적화

• SIM Swap 조건 분석

• MFA 토큰 전달 경로 침입

• Voice Deepfake 기반 승인 요청

이 과정은 거의 100% 자동화되어 있다.

---

Phase 5. Privilege Escalation & Lateral Expansion

인증 정보를 활용해 다음을 수행:

• 권한 상승

• 조직 내 다른 계정 접근

• 클라우드 IAM Policies 자동 탐색

• Global Admin 계정 스캔

• 시스템 간 SSO 관계 분석

이 단계에서 공격자는
“회사 전체 계정 지형도를 그래프로 재구성”한다.

---

Phase 6. Persistence Layer

장기적으로 접근을 유지하기 위한 기법:

• OAuth Consent Abuse

• Token Duplication

• Shadow Account 생성

• API Key Substitution

• MFA Bypass Rule 삽입

기업이 공격을 차단했다고 믿는 순간,
AI는 이미 백업된 인증 채널을 확보해둔다.

---

3. 실제 침해 사고 사례 (2024–2025)

---

사례 A — 대규모 IT 기업 SSO 체계 무력화

AI가 OAuth Redirect 흐름에서
권한 스코프 충돌 문제를 발견 →
Refresh Token 무한 재생성 성공 →
엔지니어 43명의 계정이 한 번에 털림.

---

사례 B — 글로벌 SaaS 서비스에서 Shadow Admin 계정 생성

AI가 IAM 정책 구조를 분석해
“삭제 로그가 안 남는 관리자 권한”을 찾아
Shadow Admin 생성 성공.

---

사례 C — MFA 우회로 금융기업 내부망 침투

AI가 직원 2,000명의 로그인 기록을 분석해
MFA 피로도를 최대화하는 시간대를 찾음 →
승인 유도 성공 →
내부 DB 접근.

---

사례 D — 세션 재활성화를 통한 장기 침투

로그인 기록이 없는 해커가
90일 동안 내부 개발 시스템에 접근한 사례.
세션 Rehydration 공격으로 가능한 구조.

---

4. 기존 방어 모델이 실패하는 이유

1) 비밀번호·토큰만 보호하는 시대는 끝남

이제 공격자는 전체 인증 흐름을 공격.

2) 세션 무효화를 해도 공격자 세션이 계속 복원됨

Refresh Token 때문에 완전 차단이 어려움.

3) MFA가 심리적 취약점을 가진다는 사실

AI는 그 심리 패턴까지 계산한다.

4) 클라우드 인증 구조가 지나치게 복잡함

기업 내부조차 IAM 구조를 제대로 이해하지 못한다.

5) 로깅·모니터링이 인증 그래프의 전부를 관찰하지 못함

SSO·OAuth·Session 흐름을 통합 분석할 시스템이 부족하다.

---

5. 방어 전략 (전문가 버전)

---

1) Token Provenance Verification

토큰이 “정상 생성 경로에서 나온 것인지” 검증.

---

2) Session Binding 강화

세션을 디바이스·브라우저·위치·키 체인과 묶어
탈취 세션이 쓸모 없게 만듦.

---

3) Continuous Authentication Model

로그인 후에도 지속적으로 검증:

• 생체 패턴

• 타이핑 속도

• 마우스 패턴

• 네트워크 지문

---

4) OAuth / SAML Scoping Visualization

기업은 자기 인증 구조조차 이해 못하는 경우가 많기 때문에
시각화 기반 IAM Risk Mapping이 필수.

---

5) MFA Trust Scoring

MFA 요청 시 ‘위험 점수’를 매겨
의심스러운 요청은 동작하지 않도록 함.

---

6) Session Aging & Rotation Policies 강화

AI가 세션 무제한 연장을 시도하는 것을 방지.

---

결론

Credential Harvesting 2.0은
“비밀번호를 훔치는 공격”이 아니라
기업 전체 인증 인프라를 자동 분석하여
권한을 탈취·확보·유지하는 AI 기반 공격 구조이다.

기업은 반드시 다음을 수행해야 한다:

• 인증 그래프 전체를 모니터링하는 모델 도입

• MFA 우회 방지 중심의 사용자 보호 체계 구축

• 세션·토큰 무결성 검증 강화

• IAM 시각화 기반 권한 구조 점검

사이버헬퍼는
Credential Intelligence Engine을 통해
기업의 인증 취약성을 선제적으로 탐지하고
고도화된 공격으로부터 보호할 것이다.