2026 DBIR에서 자격증명 탈취 비중이 줄어든 것처럼 보이지만, 침해 전체 과정에서는 여전히 39%로 1위다. 신원 가시성 공백의 실제 사례를 정리했다.
"자격증명 탈취가 줄고 있다." 2026년 Verizon DBIR가 19년 역사상 처음으로 취약점 악용(31%)에 초기 침투 벡터 1위 자리를 내준 자격증명(13%) 통계를 보면 그렇게 읽힌다. 하지만 같은 보고서를 한 줄 더 읽으면 얘기가 달라진다. 침해가 벌어지는 전체 과정 중 자격증명이 어느 시점에서든 관여한 비율은 39%로, 여전히 가장 큰 비중을 차지한다.
이번 DBIR 개편에서 눈에 띄는 변화는 '프리텍스팅(사칭 유도)'이 새로운 벡터 항목으로 분리된 것이다. 기존에는 자격증명 오남용으로 뭉뚱그려졌던 사고 상당수가 이 항목으로 옮겨갔다. 통계 항목이 재편되면서 자격증명의 비중이 줄어든 것처럼 보이는 착시가 생겼다.
실제로 취약점 악용이 초기 벡터 1위에 오른 것은 사실이다. 다만 이는 "초기 진입 방법"만을 기준으로 한 순위다. 공격자가 일단 발판을 마련한 뒤 내부에서 실제로 움직이는 단계에서는 여전히 훔친 자격증명이 핵심 도구로 쓰인다.
DBIR은 자격증명이 유출 데이터 유형으로 등장한 비율도 28%로 집계했다. 기본적인 웹 애플리케이션 공격만 놓고 보면 유출된 데이터의 52%가 자격증명이었다. 초기 진입 수단은 다양해졌어도, 공격이 실제로 확산되고 목표에 도달하는 과정에서는 자격증명이 여전히 핵심 매개체라는 뜻이다.
Mandiant의 2026년 M-Trends 보고서는 이 흐름을 다른 각도에서 보여준다. 공격자가 초기 침투에서 다음 공격자에게 접근권을 넘기기까지 걸리는 시간이 2022년 8시간에서 2025년 22초로 줄었다. IT 헬프데스크를 속여 다중 인증을 우회하고, 장기 유효한 OAuth 토큰이나 세션 쿠키를 그대로 넘겨받는 수법이 이 속도를 만들었다.
2025년 8월 드러난 Salesloft Drift 사고가 이 흐름의 전형이다. 공격자(UNC6395로 명명)는 Salesloft의 깃허브 조직을 먼저 뚫은 뒤, Drift 서비스의 AWS 환경까지 침투해 Drift와 Salesforce를 연동하는 OAuth 리프레시 토큰을 훔쳤다. 이 토큰 하나로 700개가 넘는 기업의 Salesforce 환경에 접근해 데이터를 조회했고, 그 안에는 AWS 키와 Snowflake 토큰, 비밀번호까지 섞여 있었다.
이 사고의 핵심은 침입 자체가 아니라 방치였다. 정상적으로 발급된 장기 유효 토큰이 어떻게 쓰이고 있는지 아무도 지켜보지 않았다. 서비스 간 연동(SaaS-to-SaaS) 토큰은 사람 계정보다 감시망 밖에 놓이기 쉽다.
같은 해 발견된 nx 패키지 공급망 공격도 비슷한 패턴을 보였다. 공격자(UNC6426)는 변조된 nx 패키지에 자격증명 탈취 기능을 심어 개발자의 깃허브 토큰을 훔쳤고, 이를 발판 삼아 깃허브와 AWS 사이의 OIDC 신뢰 관계를 악용해 임시 AWS 자격증명을 발급받았다. 이후 클라우드포메이션 스택을 배포해 낮은 권한의 역할을 관리자 권한으로 끌어올렸다. 72시간 만에 벌어진 일이었다.
두 사고 모두 자격증명 자체를 훔친 것보다, 그 자격증명이 어디서 어떻게 쓰이는지 아무도 감시하지 않았다는 점이 진짜 원인이다.
AWS, Azure, GCP는 각자 독립된 신원 체계를 갖고 있다. 권한 표현 방식도, 감사 로그 형식도, 디렉터리 구조도 서로 다르다. 문제는 최근 공격이 한 클라우드 안에서 완결되지 않고, 이 경계와 경계 사이에서 벌어진다는 점이다. 클라우드별로 콘솔을 따로 들여다보는 방식으로는 한 신원의 클라우드 간 활동을 하나로 이어 볼 수 없다.
서비스 계정과 API 키 같은 비인간 신원이 사람 신원 수를 앞질렀다는 통계는 여러 벤더가 각자 내놓고 있다. Palo Alto Networks는 109대 1, KPMG는 80대 1, Entro Security는 144대 1, Rubrik은 45대 1을 제시한다. 조사마다 수치가 두 배 넘게 벌어진다는 것은, 이 숫자를 독립적으로 검증할 공인 기관이 아직 없다는 뜻이기도 하다.
정확한 배수보다 중요한 것은 방향성이다. 비인간 신원은 계속 늘고 있고, 이들 대부분은 사람 계정처럼 정기적으로 점검되거나 비활성화되지 않는다. 아무도 세지 못할 만큼 늘어난 신원이야말로 가시성 문제의 본질이다.
가트너가 2022년 명명한 ITDR(신원 위협 탐지 및 대응)은 기존 IAM과 역할이 다르다. IAM이 "누구에게 어떤 권한을 줄지"를 정한다면, ITDR은 "그 권한이 실제로 남용되고 있는지"를 behavioral 분석으로 감시한다. 통합 신원 그래프는 모든 사람·비인간 신원과 그 권한, 실제 사용 이력을 하나의 데이터 모델로 묶어, "이 자격증명이 지난주에 실제로 무엇을 건드렸는지"를 한 곳에서 답할 수 있게 한다.
세션 단위 이상 탐지는 유효한 자격증명이 비정상적으로 쓰이는 순간을 잡아낸다. 불가능한 이동 경로, 낯선 기기에서의 토큰 재사용, 평소 건드리지 않던 데이터에 대한 갑작스러운 접근이 여기 해당한다. Salesloft Drift와 nx 사고 모두, 토큰이 이미 도난당한 이후 단계에서 이런 감시망이 있었다면 훨씬 빨리 잡아낼 수 있었던 사고다.
국내에서도 신원 관리 실패가 대형 유출로 이어진 사례가 이어지고 있다. 2025년 11월 쿠팡 사고는 퇴사한 직원의 인증키가 회수되지 않고 수개월간 방치된 상태에서 악용된 경우였다. 같은 해 SK텔레콤 사고에서도 내부 계정·접근 통제의 허점이 장기 침해를 방치한 원인으로 지목됐다. KS한국고용정보에서는 탈취된 계정 하나로 내부 시스템 전체가 뚫려 22GB가 유출됐다.
국내 「개인정보의 안전성 확보조치 기준」은 접근권한을 차등 부여하고 접속기록을 보관·점검하도록 이미 규정하고 있다. 문제는 규정의 존재가 아니라, 그 규정이 요구하는 수준의 실시간 가시성을 갖춘 기업이 얼마나 되느냐다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.