아이덴티티 제공업체인 옥타(Okta, Inc., NASDAQ: OKTA)는 국제적인 ‘시큐어 사인-인 트렌드 리포트(Secure Sign-In Trends Report)’를 발행했다고 발표했다. 

이번 리포트는 전 세계 16개 이상 산업에 걸쳐 ‘옥타 워크포스 아이덴티티 클라우드(Okta Workforce Identity Cloud)’에 매월 수십억 회 이루어지는 고객 로그인 정보를 분석한 결과, 다중 인증(MFA, Multi-Factor Authentication) 이용은 2020년 이래 거의 두 배 증가했으며 피싱 저항력이 있는 인증 기술이 보안 및 사용자 편의성 면에서 최선의 선택인 것으로 나타났다고 밝혔다.

토드 맥키넌(Todd McKinnon) 옥타 CEO는 “옥타는 고객이 피싱 방지 MFA 및 패스워드리스 보안과 같은 혁신 기술을 채택하도록 지원함으로써 고객의 제로 트러스트 보안 전략을 발전시키고 있다”며 “고객의 이러한 중요 기술 채택에 대한 데이터를 공유함으로써 정부, 파트너, 고객과 함께 더 큰 발전을 도모할 수 있다”고 전했다.

보고서의 주요 시사점은 다음과 같다.

△옥타 시스템 관리자의 90%, 사용자의 64%가 2023년 1월 한 달간 MFA를 이용하여 접속했다.

△가장 높은 피싱 저항력을 제공하는 접속 방식(Okta FastPass 및 FIDO2 WebAuthn)이 가장 빠르고 가장 안정적인 사용자 경험을 제공하는 것으로 나타났다. 

△IT업계에서는 87%의 계정 로그인이 이미 MFA를 사용하고 있어 패스워드리스(passwordless)로 전환할 수 있는 가장 좋은 입지를 확보했다. MFA를 가장 많이 도입한 5대 산업은 보험(77%), 컨설팅(75%), 건설(74%), 미디어 및 커뮤니케이션(72%)이며, 의외로 규제가 심한 산업들이 뒤쳐지는 경향이 있었다.

△옥타 워크포스 고객의 MFA 도입이 2020년 2월에서 3월 사이 35%에서 50%로 급증했다.

△직원 수 300명 미만인 기업(79%)의 MFA 이용이 직원 수 2만명 이상 대기업(54%)을 능가했다.

MFA는 악용될 가능성이 큰 패스워드 같은 크리덴셜 위에 추가적인 보안 레이어를 더한다. 비즈니스 웹 애플리케이션 공격의 80% 이상, 모든 비즈니스 이메일 침해 공격의 절반 가량이 도난 당한 유저네임과 패스워드 때문에 발생한다. MFA는 애플리케이션이나 온라인 계정에 접근을 허용하기 전 유저가 실제 본인임을 보다 확실하게 확인할 수 있다. MFA는 유저가 계정이나 애플리케이션에 접근하려 할 때 다른 유형의 정보나 요소를 요구해서 아이덴티티를 검증한다. 하지만 보다 고도화된 MFA 우회 공격이 증가함에 따라 기업은 피싱 저항력이 있는 인증 흐름 도입을 검토하고 있다.  

이번 보고서에 따르면, 옥타 패스트패스(Okta FastPass) 또는 FIDO2 웹오슨(WebAuthn) 같은 피싱 저항력이 있는 인증 방식이 보안과 사용자 경험의 최적 조합을 제시한다. 기술 결정권자가 보안과 사용자 경험 사이에서 절충을 해야 한다고 일반적으로 전제하지만 옥타의 연구에 따르면 평균적으로 피싱 저항력이 있는 패스워드리스 인증 기술로 접속할 때 시간을 절약할 수 있고 패스워드 사용에 비해 실패 확률이 최소로 감소한다.

옥타 시큐어 사인-인 리포트(Okta Secure Sign-In Report)에 대하여 시큐어 사인-인 트렌드 리포트는 옥타 워크포스 아이덴티티 클라우드(WIC)에서 직접 발생하는 MFA 인증 이벤트 관련 데이터를 기반으로 작성됐다. 분석가들이 전 세계 다양한 국가의 월별 인증 및 검증 데이터 수십억 건을 익명화하고 취합했다. 옥타의 기업 고객과 그 직원, 계약직, 협력사 및 고객들이 옥타를 이용해서 디바이스, 웹사이트, 앱, 서비스에 안전하게 로그인하고 데이터를 보호하는 보안 기능을 활용한다. 

이들은 소기업에서 세계 최대 기업에 이르기까지 각종 산업을 망라하고 수십만 명의 직원과 수백만 명의 고객을 확보하고 있다. 전체 리포트는 여기에서 확인할 수 있다.

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★