Man-in-the-Middle(MITM) 공격이란 무엇인가? 유형, 사례 및 예방 방법 | Wiz

MITM 공격이란 무엇인가?

Man-in-the-Middle(MITM) 공격은 서로 직접 통신한다고 믿는 두 당사자 사이의 통신을 공격자가 몰래 가로채고 경우에 따라 변조하는 사이버 공격입니다. 이로 인해 공격자는 양측이 통신 침해 사실을 알아차리지 못하는 사이에 자격 증명을 탈취하거나, 민감한 데이터를 수집하거나, 거래를 조작할 수 있습니다.

기본적인 작동 원리는 다음과 같습니다. 공격자는 통신 경로상의 위치를 확보하고 송신자와 수신자 사이를 오가는 트래픽을 가로챕니다. 이후 통신을 수동적으로 도청하거나, 데이터를 능동적으로 변조한 뒤 원래 수신자에게 전달합니다. 양측은 서로 직접 대화하고 있다고 믿지만, 실제로는 모든 메시지가 먼저 공격자를 거쳐 갑니다.

업계 문서에서는 이 공격을 온패스 공격(On-Path Attack)이라고 부르는 사례가 점점 늘고 있습니다. MITRE ATT&CK 프레임워크(T1557)에서는 AitM(Adversary-in-the-Middle)이라는 용어를 사용합니다. 어떤 명칭을 접하든 핵심 개념은 같습니다. 누군가 통신의 중간에 자리 잡고, 오가는 내용을 엿보거나 변경한다는 것입니다.

대화형 워크스루를 통해 Wiz가 구체적인 사례와 함께 중요한 위험의 우선순위를 정하고 조치를 지원하는 방식을 확인하시기 바랍니다.

CNAPP 시장 가이드 다운로드

클라우드 보안 플랫폼 평가 기준과 주요 트렌드를 확인하고 CloudSec 전략을 더 명확하게 세워보세요.

MITM 공격은 어떻게 작동하는가?

MITM 공격은 통신 경로상의 위치 확보, 트래픽 접근 또는 복호화, 가로챈 데이터 악용의 세 단계로 진행됩니다.

가로채기(Interception)를 통한 위치 확보

공격자는 먼저 트래픽이 자신의 시스템을 거쳐 흐르는 위치를 확보해야 합니다. 네트워크 수준에서는 ARP 스푸핑 기법이 공격자의 MAC 주소를 정상 IP 주소와 연결해 로컬 트래픽의 경로를 바꿉니다. DNS 하이재킹 기법은 사용자를 공격자가 제어하는 서버로 보냅니다. 위장 액세스 포인트(Rogue Access Point)는 정상 WiFi 네트워크를 모방합니다.

애플리케이션 수준에서 공격자는 악성 프록시를 배포하거나, 침해된 인증서로 트래픽을 복호화합니다. 요청이 사용자 기기를 떠나기 전에 이를 가로채는 브라우저 확장 프로그램을 설치하기도 합니다.

cloud environment 내에서는 추가적인 공격 벡터가 존재합니다. 잘못 구성된 보안 그룹(Security Groups)은 세그먼트 간 무단 액세스를 허용합니다. 침해된 워크로드에서 도달할 수 있는 내부 서비스가 노출되기도 합니다. 네트워크 세분화(Network Segmentation) 수준이 불충분하면 가로채기 지점으로의 횡적 이동(Lateral Movement)이 가능해집니다.

복호화(Decryption)를 통한 암호화 트래픽 접근

공격자가 암호화를 직접 깨는 경우는 드뭅니다. 대신 인증 및 핸드셰이크 단계를 노립니다. SSL 스트리핑 기법은 암호화가 수립되기 전에 요청을 가로채 HTTPS 연결을 HTTP로 다운그레이드합니다. 인증서 스푸핑 기법은 위조 인증서를 제시하는 동시에 정상 서버와는 별도의 암호화 연결을 유지합니다. 다운그레이드 공격 기법은 알려진 취약점이 있는 더 약한 프로토콜을 사용하도록 연결을 강제합니다.

2011년 DigiNotar 침해 사고는 인증 기관(Certificate Authority) 침해가 대규모 MITM 공격으로 이어질 수 있음을 보여 주었습니다. 공격자는 Google을 포함한 주요 도메인의 위조 인증서를 발급해 Gmail 트래픽을 가로챘습니다.

데이터 조작 또는 탈취

트래픽에 접근한 공격자는 자격 증명을 수집하고, 세션 토큰을 탈취하고, API 키를 확보할 수 있습니다. 거래를 변조하거나 data exfiltration 행위를 수행할 수도 있습니다. 공격이 성공하면 금융 사기, 무단 액세스, 데이터 침해, 공급망 침해로 이어집니다.

MITM 공격의 주요 유형

MITM은 단일 공격이 아니라 여러 기법을 아우르는 범주입니다. 각 변형을 이해하면 어떤 위협이 자사 인프라에 해당하는지 평가할 수 있습니다.

ARP 스푸핑: ARP(Address Resolution Protocol)는 로컬 네트워크에서 IP 주소를 MAC 주소에 매핑합니다. 공격자는 스푸핑된 ARP 메시지를 보내 자신의 MAC 주소를 정상 IP 주소(주로 기본 게이트웨이)와 연결합니다. 그 결과 인터넷으로 향하는 트래픽이 공격자의 기기를 먼저 거치게 됩니다. 이는 주로 로컬 네트워크 공격으로, 온프레미스 환경이나 공격자가 이미 네트워크 액세스 권한을 확보한 상황과 관련이 있습니다.
DNS 스푸핑: DNS는 도메인 이름을 IP 주소로 변환합니다. 공격자는 DNS 캐시를 오염시키거나 DNS 서버를 침해해 잘못된 주소를 반환하게 만듭니다. 이를 통해 정상 사이트와 똑같아 보이는 공격자의 서버로 사용자를 유도합니다. cloud environment 내에서는 DNS 구성 오류로 인해 microservices 환경이 정상 내부 서비스 대신 악성 endpoint 주소로 연결될 수 있습니다.
SSL/TLS 하이재킹: SSL 스트리핑은 최초 HTTP 요청을 가로채 HTTPS로의 업그레이드를 차단합니다. 인증서 스푸핑은 위조 인증서로 피해자와 암호화 세션을 수립하는 동시에 정상 서버와는 별도의 연결을 맺습니다. 다운그레이드 공격은 TLS 협상 과정을 조작해 취약한 구형 프로토콜 사용을 강제합니다.
WiFi 도청: 위장 액세스 포인트와 이블 트윈(Evil Twin) 공격은 정상 WiFi 네트워크를 모방한 네트워크를 만듭니다. 이러한 네트워크에 연결한 사용자의 모든 트래픽은 공격자가 제어하는 인프라를 거칩니다. 그 결과 암호화되지 않은 트래픽은 그대로 노출되고, 암호화된 트래픽도 앞서 설명한 기법에 취약해집니다.
세션 하이재킹: 세션 하이재킹은 자격 증명을 가로채는 대신 사용자의 인증 상태를 증명하는 토큰이나 쿠키를 노립니다. 공격자는 네트워크 가로채기나 cross-site scripting 공격으로 이러한 토큰을 탈취한 뒤 정상 사용자로 위장합니다. cloud environment 내에서는 세션 토큰이 광범위한 API 액세스 권한을 부여하는 경우가 많습니다.
이메일 하이재킹: 공격자는 이메일 계정에 접근하거나 트래픽을 가로채 대화 스레드를 모니터링하고, 결정적인 순간에 사기성 메시지를 삽입합니다. 흔한 수법은 결제 관련 논의를 지켜보다가 다른 계좌로 대금 지급을 요청하는 것입니다.
Man-in-the-Browser 공격: 악성코드, 악성 확장 프로그램 또는 침해된 브라우저 구성 요소가 브라우저 내부에서 직접 데이터를 가로챕니다. 이 공격은 복호화 이후에 발생하므로 네트워크 모니터링과 TLS로는 보호할 수 없습니다.

MITM 공격 사례

DigiNotar 인증 기관 침해 사고(2011)

공격자는 네덜란드 인증 기관인 DigiNotar를 침해하고 Google, Mozilla, Microsoft를 포함한 500개 이상의 도메인에 대한 위조 인증서를 발급했습니다. 사용자 시스템이 DigiNotar의 루트 인증서를 신뢰했기 때문에, 공격자는 뚜렷한 경고 없이 HTTPS 트래픽을 가로채고 복호화할 수 있었습니다.

이 공격은 주로 이란 사용자를 표적으로 삼았으며, 공격자는 이를 통해 Gmail 통신을 감시했습니다. DigiNotar는 침해 사실이 공개된 직후 파산을 선언했습니다. 이 사고를 계기로 브라우저가 인증 기관의 신뢰와 인증서 폐기를 처리하는 방식이 크게 바뀌었습니다.

Lenovo Superfish(2015)

Lenovo는 애드웨어 Superfish가 사전 설치된 소비자용 노트북을 출고했습니다. 이 소프트웨어는 시스템 신뢰 저장소에 자체 루트 인증서를 삽입하고, HTTPS 트래픽을 가로채 광고를 주입했습니다.

모든 설치본에서 동일한 개인 키가 재사용되었습니다. 보안 연구원들이 이 키를 추출해 공개한 뒤에는 어떤 공격자든 영향을 받은 사용자를 상대로 보안 웹사이트를 사칭할 수 있게 되었습니다.

해당 소프트웨어와 관련 인증서가 제거될 때까지 수백만 대의 기기가 취약한 상태로 남아 있었습니다.

Amazon Route 53 BGP 하이재킹(2018)

공격자는 BGP(Border Gateway Protocol) 하이재킹을 이용해 Amazon Route 53 DNS 인프라로 향하는 트래픽의 경로를 변경했습니다. 약 2시간 동안 MyEtherWallet.com에 접속하려던 사용자는 러시아에서 호스팅된 피싱 사이트로 리디렉션되었습니다.

가짜 사이트에 자격 증명을 입력한 사용자는 약 15만 달러 상당의 암호화폐를 잃은 것으로 추산됩니다. 이 사고는 DNS와 네트워크 경로가 조작되면 인터넷 라우팅 계층에서도 트래픽 가로채기가 발생할 수 있음을 보여 주었습니다.

Wiz 클라우드 데모 보기

Wiz가 위험을 우선순위화하고 클라우드 환경 전반의 보안 인사이트를 제공하는 방식을 확인하세요.

MITM 공격 탐지 방법

탐지는 원시 네트워크 텔레메트리에만 의존할 수 없습니다. 효과적인 MITM 탐지를 위해서는 네트워크 이상 징후를 아이덴티티, 워크로드, 데이터 컨텍스트와 연결해 실제 영향을 판단해야 합니다.

네트워크 이상 징후 지표

일반적인 신호는 다음과 같습니다.

인증서 경고 또는 예기치 않은 인증서 변경
DNS 확인 이상(익숙하지 않은 IP로 확인되는 도메인 등)
비정상적인 트래픽 라우팅 경로 또는 예상치 못한 중간 경유지
추가된 가로채기 홉으로 인한 연결 지연 시간 급증.

이러한 신호는 그 자체만으로는 노이즈를 만듭니다. 인증서는 정당한 이유로도 변경됩니다. DNS 응답도 달라지고, 유지 보수 중에는 경로가 조정되기도 합니다.

핵심은 영향입니다. 의심스러운 경로에 특권 아이덴티티, 프로덕션 워크로드 또는 민감한 데이터가 관련되어 있는지 확인해야 합니다.

공개 마케팅 사이트에 영향을 주는 이상 징후와 database 자격 증명이나 API 키를 전달하는 트래픽에 영향을 주는 이상 징후는 같은 수준으로 볼 수 없습니다. 탐지 결과의 우선순위는 비정상 패턴만이 아니라 노출 수준과 비즈니스 위험을 기준으로 정해야 합니다.

Runtime 동작 모니터링

cloud environment 내에서는 네트워크 흐름 로그만이 아니라 워크로드 수준의 가시성이 필요합니다. Runtime 모니터링은 워크로드가 가로채기 지점으로 동작하기 시작하는 시점을 탐지합니다.

주요 지표는 다음과 같습니다.

네트워크 인터페이스나 라우팅 테이블을 수정하는 프로세스
승인되지 않은 소켓 생성
새 포트에서 갑자기 수신 대기를 시작하는 container 인스턴스
호스트 수준의 트래픽 리디렉션.

이 접근 방식은 경계 모니터링이 놓치는 내부 가로채기를 포착합니다. 특히 공격자가 침해된 정상 워크로드를 거점으로 활동할 때 효과적입니다.

네트워크 신호와 아이덴티티 및 데이터 컨텍스트의 상관 분석

영향 범위(Blast Radius)를 파악하지 않으면 개별 경고의 우선순위를 정할 수 없습니다.

팀이 다음 질문에 답할 수 있을 때 탐지 결과를 실제 조치로 연결할 수 있습니다.

어떤 자격 증명이 탈취될 수 있습니까?
어떤 민감한 데이터가 노출될 수 있습니까?
해당 자격 증명으로 어떤 시스템에 접근할 수 있습니까?

공격자가 프런트엔드와 인증 서비스 사이의 트래픽을 가로채면 세션 토큰, 사용자 자격 증명 또는 PII가 노출될 수 있습니다. 이렇게 탈취된 정보는 프로덕션 시스템에 대한 다운스트림 액세스로 이어집니다.

효과적인 탐지는 이상 징후를 아이덴티티 권한, 데이터 민감도, attack path 정보와 연결합니다. 이러한 컨텍스트가 있어야 「의심스러운 일이 발생했다」는 판단이 「이 경로가 실제 피해로 이어진다」는 판단으로 바뀝니다.

MITM 공격 예방 방법

MITM 공격을 예방하려면 암호화, 검증, 아키텍처, 보안 태세 관리 전반에 걸친 계층형 통제가 필요합니다. 단일 보호 장치만으로는 충분하지 않습니다.

인증서 검증 및 투명성 모니터링 적용

애플리케이션은 다음과 같이 엄격한 인증서 검증을 수행해야 합니다.

인증서 체인 확인
폐기 상태 점검
도메인 일치 여부 확인.

또한 조직은 자사 도메인에 대해 무단 발급된 인증서가 있는지 인증서 투명성 로그(Certificate Transparency Logs)를 모니터링해야 합니다. 예기치 않은 인증서 발급은 CA 침해나 진행 중인 공격 시도를 나타낼 수 있습니다.

조기 탐지는 공격자의 체류 시간(Dwell Time) 단축으로 이어집니다.

네트워크 아키텍처 보안 및 세분화

세분화는 가로채기 기회와 횡적 이동을 제한합니다.

불필요한 서비스 간 통신 제한
least privilege 기반 네트워크 정책 적용
개발 환경의 프로덕션 시스템 접근 차단.

Zero Trust 원칙은 네트워크 내부를 포함한 모든 연결에서 아이덴티티와 권한을 검증해 MITM 위험을 한층 더 줄입니다.

MITM 전제 조건의 지속적 제거

암호화가 적용되어 있더라도 구성 오류로 인해 가로채기가 가능해지는 경우가 많습니다.

대표적인 취약점은 다음과 같습니다.

HTTP와 HTTPS를 모두 허용하는 서비스
권한이 과도하게 열려 있는 보안 그룹
외부에 노출된 내부 endpoint 주소.

지속적인 보안 태세 관리를 통해 공격자가 악용하기 전에 이러한 조건을 식별하고 조치할 수 있습니다.

자격 증명 및 세션 토큰 보호

가로채기가 발생할 수 있다고 가정하고, 가로챈 정보의 가치를 낮춰야 합니다.

수명이 짧은 토큰 사용
정기적인 자격 증명 교체
클라이언트 컨텍스트에 대한 세션 바인딩
로그아웃 시 세션 무효화.

또한 전송 중 자격 증명이 노출되지 않도록 다음 사항을 지켜야 합니다.

민감한 값의 로그 기록 금지
URL을 통한 자격 증명 전달 금지
브라우저에서 접근 가능한 저장소에 secrets 저장 금지.

자격 증명의 수명과 노출 범위를 제한하면 공격자가 트래픽을 가로채더라도 영향 범위를 줄일 수 있습니다.

MITM 공격 탐지 및 예방을 위한 Wiz의 접근 방식

Wiz는 네트워크 노출, 아이덴티티 권한, 데이터 민감도를 연결해 어떤 가로채기 시나리오가 실제 위험인지 보여 줍니다. Security Graph는 잠재적 가로채기 지점을 식별하면 해당 경로로 흐르는 민감한 데이터와 침해될 수 있는 아이덴티티를 드러냅니다. 가로채기가 성공할 경우의 영향 범위도 함께 보여 줍니다.

Agentless 스캔은 AWS, Azure, GCP, Kubernetes 환경 전반에서 MITM 공격을 가능하게 하는 구성 오류를 식별합니다. 여기에는 암호화되지 않은 트래픽을 허용하는 서비스, 취약한 TLS 설정, 노출된 내부 endpoint 주소, 권한이 과도하게 열려 있는 보안 그룹이 포함됩니다. Security Graph는 네트워크 도달 가능성을 매핑해 어떤 리소스가 트래픽을 가로챌 수 있거나 가로채기 대상이 될 수 있는지 보여 줍니다. 이를 통해 추상적인 취약점이 비즈니스 영향과 연결된 구체적인 위험 평가로 바뀝니다.

Wiz Defend는 가로채기를 가능하게 하는 동작을 탐지해 runtime 단계까지 보호 범위를 확장합니다. 탐지 대상에는 비정상적인 네트워크 활동, 예기치 않은 프록시 동작이나 트래픽 리디렉션, 네트워크 인터페이스를 조작하는 프로세스가 포함됩니다. 의심스러운 활동이 발생하면 방어 담당자는 영향을 받은 아이덴티티, 데이터, 리소스에 대한 전체 컨텍스트와 함께 이를 확인할 수 있습니다.

이러한 통합 컨텍스트를 바탕으로 팀은 실제 위험을 기준으로 우선순위를 정할 수 있습니다. 공개 콘텐츠에 영향을 주는 네트워크 이상 징후와 database 자격 증명을 전달하는 트래픽에 영향을 주는 이상 징후는 대응 시급성이 다릅니다.

데모 신청하기를 통해 Wiz가 노출 경로, 아이덴티티 권한, 민감한 데이터를 연결해 가장 중요한 가로채기 위험의 우선순위를 정하는 방식을 확인하시기 바랍니다.

Wiz 데모 신청하기

전문가와 함께 귀사의 클라우드 환경에서 중요한 위험을 더 빠르게 발견하고 줄이는 방법을 알아보세요.