[어센티케이트 2026] 싱가포르 “큐싱 방어 위해 싱패스에 패스키 도입”

핵심 요약

큐싱(Quishing)은 위조된 QR코드를 통해 사용자 계정 정보를 탈취하는 공격으로, 국내외에서 피해 사례가 지속적으로 발생하고 있으며 싱가포르에서는 지난해 9900만 건의 QR코드 인증 악용 공격이 탐지되었습니다. 이 공격은 주로 피싱(Phishing)과 유사하게 사회공학적 기법을 활용하여 사용자를 속여 악성 QR코드를 스캔하도록 유도하며, 이는 Initial Access(TA0001) 전술의 한 형태로 볼 수 있습니다. 특히, 기존의 OTP(TOTP, SMS) 방식은 피싱 저항성이 낮아 큐싱과 같은 공격에 취약할 수 있습니다. IT 감사인은 조직의 인증 시스템이 큐싱 공격에 얼마나 취약한지 평가하고, 피싱 저항성이 높은 패스키(Passkey)와 같은 최신 인증 기술 도입을 검토하여 사용자 인증의 안전성을 강화해야 할 필요성을 시사합니다.

개선 권고안

• ✔기술적 조치현재 사용 중인 QR코드 기반 인증 시스템에 대해 큐싱 공격 방어 기능을 강화하고, 피싱 저항성이 낮은 인증 수단(예: SMS OTP, TOTP)의 고위험 거래 및 중요 시스템 접근 적용 여부를 재검토하여 피싱 저항성 MFA로 전환할 것을 권고함.
• ✔관리적 조치조직의 인증 시스템 전반에 대한 큐싱 공격 취약성 평가를 수행하고, 피싱 저항성이 높은 인증 기술(예: 패스키, FIDO2/WebAuthn) 도입을 위한 중장기 로드맵을 수립 및 시행할 것을 권고함.
• ✔관리적 조치임직원 및 이용자를 대상으로 큐싱 공격의 최신 동향, 식별 방법, 대응 요령을 포함하는 보안 인식 제고 교육을 정기적으로 실시하고, 교육 효과를 측정하여 지속적으로 개선할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기