[관점]
다크웹 유출 계정 알림을 받아 본 조직은 대개 같은 곳에서 막힌다. 목록은 도착했는데 그 계정이 지금 우리 시스템에서 실제로 쓰이는지 판단할 방법이 없다.
그래서 이 5단계에서 실질적인 부담은 2단계에 몰려 있다. 수집과 통지는 도구가 처리하지만 실제 접근 가능 여부 검증은 조직이 해야 한다. 이 단계를 건너뛰면 나머지는 목록 관리로 끝나고, 신고 의무 판단에 필요한 사실관계도 확보되지 않는다.
유출된 자격증명은 여전히 침해로 가는 가장 빠른 경로 중 하나다. 공격자에게는 유효한 아이덴티티 하나면 시작하기에 충분하기 때문이다. 문제는 노출된 자격증명을 찾아내는 것 자체가 아니라, 그중 어떤 것이 실제로 우리 환경을 상대로 사용될 수 있는지를 검증역할이다. 조직은 공격자보다 먼저 자격증명 노출을 지속적으로 식별하고, 시험하고, 조치함으로써 그 위험을 줄인다.
매년 수십억 건의 자격증명이 온라인에 등장한다. 다크웹이든, 일반 웹이든, 페이스트 사이트든, 사이버 범죄자들이 공유하는 데이터 덤프든 마찬가지다. 이 자격증명들은 계정 탈취 공격에 흔히 사용되며, 조직을 침해와 랜섬웨어, 데이터 절취에 노출시킨다.
CISO 들은 커져 가는 아이덴티티 위협을 인지하고 있고 잠재 위험을 낮추기 위한 여러 도구를 갖추고 있지만, 현실은 기존 방법론들이 대체로 효과적이지 못하였다는 것이다. 2022년 Verizon 데이터 침해 조사 보고서(DBIR)에 따르면 “침해의 60% 이상이 탈취된 자격증명과 연관되어 있다.” 다만 이 수치는 2022년 기준이며, 최초 침투 경로의 순위는 이후 조사에서 달라졌다. 인용 시 발표 연도를 함께 적어야 한다.
공격자들은 사회공학, 무차별 대입, 다크웹에서의 유출 자격증명 구매 같은 기법을 사용해 정상 아이덴티티를 탈취하고 피해 조직의 시스템과 자원에 무단 접근한다.
또한 공격자들은 일부 비밀번호가 서로 다른 사용자들 사이에서 공유된다는 사실을 자주 활용한다. 이 때문에 같은 조직 내 여러 계정을 침해하기가 더 쉬워진다. 어떤 직원들은 비밀번호를 재사용한다. 또 어떤 직원들은 여러 웹사이트에 걸쳐 공통된 패턴의 비밀번호를 쓴다. 공격자는 크래킹 기법과 사전 공격을 사용해, 공유된 패턴을 활용함으로써 비밀번호 변형들을 돌파할 수 있다. 비밀번호가 해시되어 있더라도 마찬가지다. 조직 입장에서 핵심적인 난점은, 해커에게는 단 하나의 비밀번호만 들어맞으면 침입이 성립한다는 점이다.
현재의 위협 인텔리전스를 감안할 때, 조직이 노출을 효과적으로 완화하려면 공격자 관점에서 무엇이 실제로 악용 가능한지에 집중해야 한다.
자격증명 노출을 완화하는 5단계
1. 유출 자격증명 데이터 수집
보안팀은 오픈 웹부터 다크웹까지 여러 곳에서 외부로 유출된 자격증명 데이터를 수집해야 한다. 이를 통해 조직이 안고 있는 위험의 초기 지표를 얻을 수 있고, 갱신이 필요한 개별 자격증명도 파악할 수 있다.
2. 데이터 분석
보안팀은 실제로 보안 노출로 이어질 수 있는 자격증명을 식별해야 한다. 공격자라면 사용자명과 비밀번호 조합(평문이든 해시든)을 확보한 뒤 그것으로 서비스나 시스템에 접근을 시도할 것이다. 보안팀도 유사한 기법을 사용해 자사 위험을 평가해야 한다. 여기에는 다음이 포함된다.
- 해당 자격증명이 웹 서비스나 데이터베이스 같은 조직의 외부 노출 자산에 접근을 허용하는지 확인한다
- 확보된 비밀번호 해시의 크래킹을 시도한다
- 유출 자격증명 데이터와 Active Directory 같은 조직의 아이덴티티 관리 도구 사이의 일치 여부를 검증한다
- 확인되는 침해 아이덴티티 수를 늘리기 위해 원시 데이터를 가공한다. 예를 들어 사용자들은 흔히 동일한 비밀번호 패턴을 사용한다. 유출된 자격증명이 외부 대면 자산에 접근을 허용하지 않거나 Active Directory 항목과 일치하지 않더라도, 변형을 시험해 보면 추가 일치를 찾아낼 수 있다
3. 자격증명 노출 조치
유출 자격증명을 검증해 실제 노출을 식별하고 나면, 조직은 공격자가 같은 일을 하는 위험을 줄이기 위한 표적 조치를 취할 수 있다. 예컨대 Active Directory 에서 비활성 상태의 유출 계정을 삭제하거나, 활성 사용자에 대해 비밀번호 변경을 개시할 수 있다.
4. 보안 프로세스 재평가
직접적인 조치 이후, 보안팀은 현행 프로세스가 안전한지 평가하고 가능한 지점에서 개선해야 한다. 예를 들어 일치하는 유출 자격증명이 다수 확인된다면, 조직 전체의 비밀번호 정책 자체를 변경하도록 권고할 수 있다. 마찬가지로 Active Directory 에서 비활성 사용자가 발견된다면, 직원 오프보딩 프로세스를 다시 들여다보는 것이 유익할 수 있다.
5. 자동 반복
공격자는 끊임없이 새로운 기법을 채택한다. 공격 표면도 변한다. 아이덴티티는 일상적으로 추가되고 제거된다. 마찬가지로 사람은 언제나 실수를 저지르기 마련이다. 따라서 자격증명 노출을 찾아내고 검증하고 조치역할회성 노력만으로는 충분하지 않다. 매우 역동적인 위협 환경에서 지속 가능한 보안을 달성하려면, 조직은 이 과정을 계속 반복해야 한다.
그러나 자원이 제한된 보안팀이 이 모든 단계를 충분한 주기로 수작업 수행하기는 어렵다. 이 위협을 효과적으로 관리하는 유일한 방법은 검증 과정을 자동화하는 것이다.
Pentera 는 조직이 공격자의 기법을 자동으로 에뮬레이션하여 네트워크 외부와 내부 양쪽에서 유출 자격증명의 악용을 시도해 보는 한 가지 방법을 제공한다. 검증 루프를 닫기 위해 Pentera 는 전체 공격 경로에 대한 인사이트와 실행 가능한 조치 단계를 함께 제공하며, 이를 통해 조직은 아이덴티티 방어력을 효율적으로 극대화할 수 있다.
국내 적용 관점
첫째, 개인정보보호법상 유출 통지·신고 의무와 「직원 계정 유출」은 같은 사안이 아닐 수 있으니 대응 트랙을 분리해 두어야 한다. 다크웹에서 발견되는 것은 대개 자사 임직원이 외부 서비스에 가입하며 사용한 회사 이메일 계정이다. 이는 우리 조직이 보유·처리하던 개인정보가 유출된 것과는 성격이 다르다. 다만 그 계정으로 실제 사내 시스템 접근이 성립하였다면 이야기가 달라진다. 원문 2단계의 「실제 접근 가능 여부 검증」이 국내에서는 곧 신고 의무 판단의 사실관계 확보 절차가 되는 셈이다. 통지 기한과 신고 대상 요건은 개정이 잦다. 대응 절차 문서에 기한을 숫자로 박아 두면 개정 때마다 절차 전체가 낡으므로, 근거 고시를 참조하는 형태로 쓰는 편이 오래간다.
둘째, 동일 비밀번호 재사용은 국내에서 「패턴 재사용」 형태로 나타나는 경우가 많아 해시 일치 검사만으로는 잡히지 않다. 원문이 지적한 공유 패턴 문제는 국내 조직에서 특히 두드러진다. 사번이나 입사연도, 회사명 약어에 특수문자 한두 개를 붙이는 관행, 90일 주기 변경 정책에 대응해 끝자리 숫자만 올리는 관행이 대표적이다. 유출 데이터와 AD 를 단순 문자열 비교하면 「일치 0건」이 나오지만, 원문 2단계 마지막 불릿이 말하는 변형 시험을 거치면 결과가 달라진다. 검증 범위를 정문자열 일치로 한정하지 않도록 설계해야 한다.
셋째, AD 와 SaaS 계정이 별도 관리되는 구조에서는 오프보딩이 절반만 이뤄진다. 원문 4단계는 AD 의 비활성 계정 발견을 오프보딩 프로세스 재점검의 신호로 본다. 국내 현장에서는 여기에 한 겹이 더 있다. 퇴사 처리가 인사시스템과 AD 에서는 정상 반영되지만, 부서 단위로 도입한 협업 도구나 클라우드 서비스 계정은 그대로 남아 있는 경우이다. 계정 인벤토리가 AD 기준으로만 작성되어 있다면, 유출 자격증명 대조 자체가 사각지대를 안고 시작하게 된다. 검증 대상 아이덴티티 목록을 어디까지 잡을지부터 정리하시기를 권한다.
넷째, 다크웹 모니터링 서비스는 도입하였지만 검출된 계정이 실제로 살아 있는지는 검증하지 않는 조직이 많다. 원문 1단계(수집)에 해당하는 서비스는 국내에도 여러 형태로 공급되고 있고, 월간 리포트로 유출 건수를 받아 보는 조직도 늘었다. 문제는 그 리포트가 2단계(분석·검증)로 넘어가지 못한 채 건수 보고로 끝난다는 점이다. 수백 건의 검출 목록 중 지금 이 순간 로그인이 성립하는 계정이 몇 개인지 답할 수 없다면, 위험도 산정도 조치 우선순위도 세울 수 없다. 원문의 논지는 수집 도구를 하나 더 사라는 것이 아니라, 이미 확보한 목록에 검증 단계를 붙이라는 것으로 읽는 편이 실무적으로 유용한다.
출처 · Pentera, Steps to Mitigate Credential Exposure Risks (2022-10-24, Pentera Team)