지난번 새로운 네트워크 경계에 대해 이야기하며, 네트워크 제어에 대한 과도한 집중과 같은 이유로 제로 트러스트에 대한 지지가 줄어들고 있다는 점을 공유한 바 있습니다. 제로 트러스트 모델은 개념상 매력적이지만, 실제로 적용하려 하면 현실적인 어려움이 많습니다.
그 대안으로, 조직의 보안 프로파일과 운영 방식, IT 프로세스에 맞게 조정 가능한 IAM(계정접근관리)이 더 직관적이고 실용적인 제로 트러스트 접근 방식으로 주목받고 있습니다. 즉, 2025년 현재 ‘신원’은 여전히 새로운 경계입니다. 다만, 올해 들어 그 ‘신원’의 정의는 한층 더 넓어지고, 할로윈처럼 다소 으스스한 의미를 담게 되었습니다. 잊힌 사용자 계정이나 사용되지 않는 시스템 계정—이른바 좀비 계정, 즉 ‘죽었지만 살아있는 신원’ 혹은 ‘비인간 신원’이 데이터를 노리는 새로운 공격자가 되고 있습니다.
비인간 신원이 빠르게 증가하고 있습니다
사람만 대상으로 한 계정 보안 전략은 이제 점점 더 많아지는 비인간 신원을 간과하게 됩니다. API 키, 자동화된 워크플로우 에이전트, 쿠키, AI 어시스턴트, 잘못 설정된 머신 ID 등 비인간 신원(NHI)은 대부분 정당한 자격을 갖고 있으며, 그 수는 엄청납니다. 일반 기업에서는 인간 신원 1개당 NHI가 100개 이상 존재할 것으로 추정되며, 이 격차는 앞으로 더 벌어질 것입니다.
사이버 범죄자들은 이러한 NHIs를 유망한 공격 벡터로 간주하고 있습니다. 왜냐하면 NHIs는 코드 레벨에 존재하기 때문에 쉽게 눈에 띄지 않으며, 명확한 소유자도 없을 수 있고, 개발자가 편의상 과도한 권한을 부여하는 경우도 많기 때문입니다. 가장 큰 문제는, 이들 대부분이 수명 주기 관리(lifecycle management)되지 않기 때문에, 실제로 사용이 끝났음에도 시스템에 계속 존재한다는 점입니다.
이러한 NHI가 실제로 활용된 주요 보안 사고 사례:
- 침해된 API 키로 인해 발생한 미국 재무부 보안 사고
- 도요타의 GitHub에 노출된 비밀 키로 인한 데이터 유출
- 뉴욕타임즈가 GitHub 토큰을 유출하며 5,600여 개 코드 저장소가 외부에 노출된 사건
이러한 사고를 방지하는 해결책은 간단합니다. 모든 비인간 자격증명, 키, 토큰, 신원을 인간 신원과 동일한 기준과 절차로 관리해야 합니다.
‘죽지 않은 신원’이 위험한 이유
최근에는 NHIs 관리를 위한 IAM 전략 중 “제로 스탠딩 권한(Zero Standing Privilege)” 모델이 주목받고 있습니다. 많은 보안 시스템이 접근 권한 부여에는 능숙하지만, 그 권한을 종료하는 데에는 미흡하다는 점을 반영한 모델입니다. 대표적인 사례는 퇴사자나 부서 이동 직원의 계정입니다. 실제로 사용되지 않지만 여전히 시스템에 남아 있는 자격 증명들이 수개월, 심지어 수년간 살아있는 상태로 방치될 수 있습니다—사용되지 않지만 사라지지도 않는 ‘언데드(undead)’ 상태인 셈입니다.
이 개념에 기반한 스타트업 한 곳은 “제로 스탠딩 권한” 기술로 주목을 받고 있으며, 이는 OpenID 재단이 채택한 업계 표준인 CAEP(Continuous Access Evaluation Protocol) 기반으로 작동합니다. CAEP는 사용자 위치, 사용 중인 앱, 기기 정보, 생체 키, 행동 패턴 등 실시간 정보를 활용해 접근 권한을 동적으로 검증합니다. 목표는 변화하는 조건과 워크플로우에 따라 유연하게 반응할 수 있는 동적 인증 시스템입니다.
해커들이 ‘잊힌 신원’을 좋아하는 이유
2025년 들어 사이버 범죄 생태계는 더 정교하게 진화하고 있습니다. 랜섬웨어, 데이터 브로커, 취약한 플랫폼을 노리는 해커들까지—우리는 이미 다양한 위협을 알고 있습니다.
그러나 그 이면에는 또 다른 층이 존재합니다. 정보탈취형 악성코드(Infostealer malware)를 활용해 사용 중인 데이터를 훔치는 공격자들입니다. 이 악성코드는 온라인 광고, 이메일 첨부파일, 메시징 앱, 소셜 미디어, 검색 결과 등을 통해 몰래 배포됩니다. 일단 작동하면 화면 캡처, 입력값, 클립보드의 텍스트 등—판매 가능한 모든 데이터를 수집합니다. 일단 작동하면 화면 캡처, 입력값, 클립보드의 텍스트 등—판매 가능한 모든 데이터를 수집합니다. 이렇게 수집된 데이터 속에서 자격 증명 정보가 발견되면, 또 다른 범죄자가 이를 선별해 데이터 브로커에 판매합니다. 대부분 대량 유포 방식으로 전개되지만, 특정 기업이나 개인을 표적으로 한 공격도 가능합니다.
이제는 더 이상 IT 경계를 명확히 정의할 수 없는 시대입니다. 모든 신원은, 인간이든 비인간이든, 수명 주기 기반으로 철저히 관리되어야 합니다. 점점 정교해지는 사이버 위협에 대응하기 위해 IAM은 정체성과 맥락(Context)을 더욱 정밀하게 식별할 수 있어야 하며, 다양한 사용 시나리오에 적응할 수 있는 유연한 보안 모델을 갖춰야 합니다.
퓨어1(Pure1)에서 새롭게 공개된 신원 및 접근 관리 포털을 통해,
퓨어스토리지가 어떻게 이러한 보안 과제를 해결하고 있는지 직접 확인해보세요.