6월, 인증과 접근 통제가 뚫린 순간들

안녕하세요, 베이스스톤 구독자님! 👋

이번 달 사고들을 하나씩 들여다보면 흥미로운 공통점이 보여요. 침해 방식은 저마다 달랐지만, 그 밑바닥에는 항상 같은 질문이 있었습니다. "이 계정, 이 키, 이 접근 권한이 정확히 어디까지 닿을 수 있는지 우리가 알고 있었는가." 오늘은 이 질문을 중심으로 6월의 보안 사고들을 정리해봤어요 🔐

📌 오늘의 글, 한눈에 요약해보기

• 🇰🇷 티빙, 개발자 접속키 탈취로 내부 시스템 침투 — 약 2천만 건 규모 개인정보 유출로 최초 파악, 조사 진행 중
• ICARUS 공급망 공격, 협력사 Klue의 방치된 휴면 자격증명을 발판 삼아 고객사 OAuth 토큰까지 탈취
• 벨기에 국가안보국, 최장 1년 가까이 감지되지 못한 채 진행된 장기 침해
• 국내 랜섬웨어 동향: ASEC 6월 통계 기준 Qilin 83건, Dire Wolf 68건, World Leaks 52건 — 두산밥캣 등 국내 기업도 피해 목록에

🔍 무슨 일이 있었나

🇰🇷 티빙, 정적 접속키 하나로 뚫린 내부 시스템

6월 1일, CJ ENM의 OTT 서비스 티빙이 개인정보 유출 사실을 공지했습니다. 5월 30일 이상 징후가 감지된 뒤, 개발자의 접속키가 탈취되어 내부 시스템에 침투한 것으로 파악됐고, 이름과 생년월일, 휴대전화번호, 이메일 등이 담긴 개인정보가 유출됐어요. 최초 파악된 규모는 약 2천만 건 수준으로 보도됐고, 티빙은 법정 신고 기한인 24시간을 넘겨 한국인터넷진흥원(KISA)에 신고한 사실도 함께 드러나 늑장 대응이라는 지적을 받았습니다. 정확한 유출 규모와 세부 경위는 아직 조사가 진행 중이에요.

이 사고에서 눈여겨봐야 할 지점은 숫자가 아니라 구조예요. 탈취된 건 아이디와 비밀번호가 아니라 "접속키" 하나였는데, 그 키 하나로 내부 시스템까지 닿을 수 있었다는 사실 자체가 문제입니다. 키가 얼마나 오래 유효했는지, 어디까지 접근할 수 있었는지를 누가 실시간으로 파악하고 있었는지는 아직 명확히 밝혀지지 않았어요.

협력사의 휴면 자격증명이 부른 ICARUS 공급망 공격

6월 중순, 시장 정보 플랫폼 Klue의 백엔드 시스템이 침해되면서 시작된 ICARUS 공급망 공격이 확인됐습니다. 공격자는 Klue가 프로토타입 통합을 위해 만들어두고 방치했던 휴면 자격증명을 발판 삼아 침투한 뒤, 악성 업데이트를 배포해 Klue와 연동된 고객사들의 Salesforce OAuth 토큰을 탈취했어요. 이후 거의 24시간 동안 Python 스크립트로 Salesforce REST API를 조회하며 CRM 데이터, 영업 커뮤니케이션, 가격 정보, 경쟁사 정보 등을 빼갔습니다. 사태가 확인된 뒤 Klue는 Salesforce뿐 아니라 HubSpot, SharePoint, Zoom 등 8개 플랫폼과의 연동을 전면 중단해야 했어요.

이 사고의 핵심은 "더 이상 쓰지 않던" 자격증명과 토큰이었다는 거예요. 사용하지 않는 통합이라도 연결이 살아있는 한, 그 권한도 그대로 살아있다는 걸 보여준 사례입니다.

거의 1년간 감지되지 못한 벨기에 국가안보국 침해

6월 22일 공개된 벨기에 국가안보국(State Security Service) 침해 사고는 시점이 더 충격적이에요. 조사 결과 침해는 2025년 5월경부터 2026년 봄까지, 거의 1년 가까이 이어진 것으로 추정됩니다. 공격자는 Ivanti의 모바일 기기 관리 플랫폼(EPMM)의 취약점을 악용해 직원 이름, 전화번호, 이메일, 외부 연락처, 기기 식별자와 위치 정보 등을 확보했어요. 다행히 기밀 정보 자체는 노출되지 않은 것으로 파악됐고, 중국과 연계가 의심되는 UNC5221이라는 해킹 그룹이 배후로 거론되고 있지만 공식적으로 확정되지는 않았습니다.

1년 가까이 이어진 침해가 들키지 않았다는 건, 그 시스템에 대한 접근이 평소에도 지속적으로 재검증되고 있지 않았다는 뜻이기도 해요.

반복되는 랜섬웨어, 여전히 활발한 국내 공급망 공격

ASEC(안랩 시큐리티 대응센터)이 발표한 6월 랜섬웨어 동향에 따르면, 활동이 가장 활발했던 그룹은 Qilin(83건), Dire Wolf(68건), World Leaks(52건) 순이었습니다. 국내에서는 건설기계 제조사 두산밥캣이 Booba Team(Frag 랜섬웨어의 리브랜딩으로 추정)의 피해 사례로 이름을 올렸고, 그 외에도 여러 국내 기업이 피해 목록에 포함됐어요. 랜섬웨어 그룹들의 정확한 침투 경로가 사건마다 공개되지는 않지만, 업계에서 반복적으로 확인되는 경로는 피싱으로 탈취한 계정 정보, 노출된 원격 접속 포트, 취약한 VPN 접속 지점 등 결국 "누군가의 계정으로 위장해 들어오는" 방식이라는 공통점이 있습니다.

🧭 왜 지금 중요한가

정적 자격증명은 언젠가 반드시 새어 나갑니다

티빙 사고와 ICARUS 공급망 공격 모두 출발점은 비밀번호가 아니라 "키"와 "토큰"이었어요. 정적인 자격증명은 한번 발급되면 만료되지 않는 한 계속 유효하고, 소스 코드나 설정 파일, 방치된 연동 설정 어딘가에 남아있기 마련입니다. 사람이 로그인할 때마다 신원을 확인하는 것처럼, 시스템과 시스템이 연결될 때도 짧은 수명의 자격증명으로 동일한 수준의 인증을 거치는 구조가 필요한 이유예요.

한 번 부여된 권한은 저절로 사라지지 않습니다

Klue의 휴면 자격증명도, 벨기에 국가안보국의 장기 미탐지 침해도 결국 "예전에 부여된 권한이 아무도 모르게 계속 살아있었다"는 공통점이 있어요. 접근 권한은 발급하는 순간보다 그 이후에 계속 유효한지, 여전히 필요한지를 주기적으로 재검증하는 과정이 훨씬 더 중요합니다. 한 번 신뢰를 부여했다고 영원히 신뢰할 수 있는 게 아니라는 뜻이에요.

경계 하나를 넘으면 너무 많은 것에 닿을 수 있다는 게 진짜 문제입니다

티빙 사고에서 탈취된 건 키 하나였지만, 그 키로 내부 시스템에 접근할 수 있었다는 사실 자체가 구조적 위험을 보여줍니다. 접속 주체가 정확히 어떤 시스템까지 접근해야 하는지 세밀하게 나뉘어 있지 않으면, 하나의 자격증명 유출이 곧 전면적인 침해로 이어질 수 있어요. 접근 통제는 "들어올 수 있는가 없는가"가 아니라 "들어온 이후에 어디까지 갈 수 있는가"를 설계하는 일이라는 걸 6월의 사고들이 다시 보여줬습니다.

✅ 이번 달 사고에서 확인해야 할 4가지

• 소스코드, 설정파일, CI/CD 파이프라인 전체를 대상으로 만료 기한 없는 정적 API 키나 접속키를 전수 스캔해본 적이 있는가
• 3개월 이상 트래픽이 없는 협력사 연동, 휴면 계정, 오래된 OAuth 권한을 분기별로 정리하는 절차가 있는가
• 핵심 시스템 하나를 골라, 그 시스템에 연결된 키나 계정이 뚫렸을 때 실제로 접근 가능한 범위(프로젝트 수, 데이터 종류)를 시뮬레이션해본 적이 있는가
• 최초 로그인 이후 세션이 길어질수록 권한과 신뢰 수준을 다시 검증하는 체계가 있는가, 아니면 한 번 인증되면 세션 종료까지 그대로 신뢰하는가

⚠️ 현장에서 자주 놓치는 지점

"한 번 인증했으면 됐다"는 생각

많은 시스템이 로그인이나 초기 연동 시점에만 신원을 확인하고, 그 이후로는 세션이나 토큰이 살아있는 한 별다른 재검증 없이 신뢰합니다. 하지만 벨기에 국가안보국 사고처럼, 이런 구조에서는 침해가 시작된 뒤에도 몇 달, 심지어 1년 가까이 아무도 눈치채지 못할 수 있어요.

사람 계정은 관리해도 시스템 계정은 잊어버리는 습관

비밀번호 정책이나 로그인 보안은 신경 쓰면서도, 서비스 간 연동에 쓰이는 API 키나 OAuth 토큰은 한 번 설정한 뒤 잊어버리는 경우가 많아요. 티빙과 ICARUS 사고 모두 사람이 아니라 시스템이 시스템에 접근하는 경로에서 시작됐다는 점을 기억할 필요가 있습니다.

"인증은 문을 여는 순간의 확인이 아니라, 문이 열려 있는 동안 계속되는 질문이어야 합니다." — Basestone Security Research Team

🚀 작게 시작하는 방법

가장 먼저 할 수 있는 건 우리 조직에서 만료 기한 없이 살아있는 API 키, 접속키, OAuth 토큰이 몇 개나 있는지 목록으로 뽑아보는 거예요. 그 목록의 길이만으로도 지금 접근 통제 체계가 어느 수준인지 가늠할 수 있습니다.

접속 주체를 더 정확하게 확인하는 기준이 필요하다면 제로 트러스트 환경에서 예외 요청을 다루는 운영 흐름도 함께 읽어보세요.