DualAuth 우종현 대표는 지난 7월 열린 CISO KOREA 2026에서 ‘방대한 공격 표면에서, 사이버보안 책임자는 무엇을 먼저 방어해야 하는가’를 주제로 발표하고, 입력 기반 인증을 없애는 것이 자격 증명 탈취 문제의 근본적인 해법이라고 강조했다.
우종현 대표는 ISO 27000, NIST 등 주요 보안 프레임워크가 공통으로 강조하는 핵심이 신원 인증과 접근 제어라고 짚었다. 2024~2025년 주요 보고서에 따르면 사이버 공격의 82% 이상이 자격 증명 탈취에서 시작된다. 발표에서는 악성코드에 감염된 PC에서 사용자가 입력한 패스워드와 OTP가 실시간으로 유출되는 장면을 시연했다. 우 대표는 “자격 증명이 탈취되는 순간 우리가 세운 모든 전제와 가정은 사라진다”고 말했다.
해법으로는 국제 표준 ITU-T X.1280을 제시했다. 사용자가 인증값을 입력하는 대신 온라인 시스템이 AutoPassword를 제시하고, 사용자는 이를 스마트폰에서 생체 인증으로 승인하는 방식이다. 입력하는 값이 없으므로 피싱·파밍·중간자 공격에도 탈취되지 않고, 시스템이 먼저 사용자에게 자신을 증명하는 상호 인증이 이뤄진다. 단말마다 생체 인증 센서가 필요한 FIDO와 달리 스마트폰 하나로 어느 단말에서든 대역 외 생체 인증이 가능해 경제적이라는 점도 강조했다.
이날 발표에서는 Gmail, Windows, macOS 로그인부터 Microsoft Entra ID 등 클라우드 서비스, Linux 서버 SSH 접속, sudo 같은 관리자 권한 명령, VPN까지 실제 적용 사례가 시연됐다. 기존 시스템은 그대로 두고 인증 방식만 바꾸며, 명령어 단위로 누가 무엇을 승인했는지 기록할 수 있다. AI 에이전트가 로그인할 때 사람의 스마트폰 승인을 거치도록 해, AI 규제가 요구하는 인간 감독을 보장하는 사례도 소개됐다.
우종현 대표는 2025년 12월 개인정보 보호법 개정으로 생체 인증을 1차 인증 수단으로 쓸 수 있게 되면서 법적 기반도 마련됐다며, 입력 기반 인증을 없애 자격 증명 탈취 문제를 근본적으로 해결하는 국제 표준 기술을 도입할 것을 권했다.