비밀번호 없이도 뚫린다: OAuth 동의 피싱 방어 가이드
정상 로그인 화면과 앱 권한 동의를 악용하는 OAuth 동의 피싱의 원리, 멀티 테넌트 SaaS의 통제 지점과 운영 체크리스트를 설명합니다.
SSO와 MFA를 적용하면 비밀번호 탈취 위험은 줄어들지만, 사용자가 악성 앱에 데이터 접근 권한을 직접 승인하는 OAuth 동의 피싱(Consent Phishing) 까지 자동으로 막아 주지는 않습니다. 공격자는 비밀번호를 요구하는 대신 정상 IdP의 동의 화면으로 사용자를 유도합니다. 승인이 끝나면 발급된 토큰으로 메일, 프로필, 파일 같은 자원에 접근을 시도할 수 있어 로그인 성공 여부만 보는 운영으로는 놓치기 쉽습니다.
동의 피싱은 일반 피싱과 무엇이 다른가
일반 피싱은 가짜 로그인 페이지에서 자격 증명을 훔칩니다. 반면 동의 피싱은 실제 인증 절차를 통과한 뒤 표시되는 앱 권한 요청을 악용합니다. 주소와 로그인 화면이 정상처럼 보여도 요청 앱, 게시자, 리디렉션 URI, 권한 범위(scope)가 업무 목적과 맞지 않을 수 있습니다.
MFA 역시 “로그인한 사람이 누구인가”를 강화할 뿐, 그 사용자가 어떤 앱에 어떤 권한을 위임해도 되는지까지 판단하지 않습니다. 따라서 인증 정책과 앱 동의 정책을 별도 통제로 설계해야 합니다. 권한을 최소화하는 기준은 OAuth 스코프 최소 권한 설계에서 확인할 수 있습니다.
멀티 테넌트 SaaS에서 확인할 통제 지점
고객사별 앱 등록과 리디렉션 URI를 분리합니다
공용 OAuth 클라이언트 하나에 여러 고객사의 설정을 섞으면 잘못된 리디렉션이나 테넌트 식별 오류의 영향 범위가 커집니다. 고객사별 연결 상태와 승인 주체를 구분하고, 등록된 URI와 정확히 일치하는 요청만 허용해야 합니다. 관련 검증 원칙은 OIDC 리디렉션 URI 보안을 참고하세요.
고위험 권한은 관리자 승인을 요구합니다
오프라인 접근, 전체 파일 읽기, 디렉터리 쓰기처럼 영향이 큰 권한은 일반 사용자가 즉시 승인하지 못하게 하고 관리자 검토 대상으로 분류합니다. 앱 이름보다 검증된 게시자, 요청 scope, 사용 목적, 데이터 보관 범위를 함께 확인해야 합니다.
승인 이후의 토큰 수명주기도 관리합니다
동의 철회가 곧 모든 세션과 토큰의 즉시 폐기를 뜻하는지 구현별로 확인해야 합니다. 미사용 앱, 장기간 유지된 grant, 퇴사자 소유 연결을 주기적으로 찾아 철회하고, 재승인과 권한 확대 이벤트를 감사 로그에 남깁니다.
운영 체크리스트
- 사용자가 자유롭게 승인할 수 있는 앱과 scope를 제한합니다.
- 관리자 승인 요청에 앱 소유자와 업무 목적을 필수로 기록합니다.
- 신규 동의, scope 확대, 리디렉션 URI 변경을 경보 대상으로 지정합니다.
- 고객사별 OAuth 연결과 토큰 폐기 여부를 독립적으로 점검합니다.
- 사고 시 앱 차단, grant 철회, 세션 종료, 영향 사용자 확인 순서를 문서화합니다.
로그인과 권한 변경 기록을 함께 보존해야 사고 범위를 재구성할 수 있습니다. 필요한 항목은 SSO 감사 로그 보존 정책에서 확인하세요.
AxiPass로 고객사별 인증 통제를 일관되게
AxiPass는 SaaS 기업이 고객사별 OIDC·SAML SSO, SCIM 계정 수명주기, MFA를 멀티 테넌트 구조에서 관리하도록 지원합니다. 표준 연동이 어려운 앱은 SWA로 연결해 접근 경로를 정리할 수 있습니다. OAuth 동의 정책은 애플리케이션 측 통제와 함께 운영하되, 인증 주체·테넌트·권한 변경 로그를 일관된 기준으로 연결하면 의심스러운 위임을 더 빠르게 조사할 수 있습니다.