[국내보안뉴스] 관리자 계정 MFA 미적용에도 ‘취약점 0건’? 가스기술공사의 겉핥기식 보안 점검 논란
· 2026-10-19 17:00
· 조회 12
· 원문 ↗
최근 공공·금융권을 겨냥한 사이버 위협이 고조되는 가운데, 국가 주요 기반 시설을 관리하는 한국가스기술공사의 부실한 보안 점검 실태가 드러났습니다. 국회 제출 자료에 따르면 공사는 최근 실시한 긴급 보안 점검에서 시스템 관리자 계정에 필수적인 다중인증(MFA)이 적용되지 않았음에도 불구하고, 계정 및 인증 분야의 취약점이 ‘0건’이라고 보고했습니다. 이는 형식적인 점검으로 인해 실제 보안 위협을 제대로 걸러내지 못하고 있음을 단적으로 보여줍니다.
관리자 계정은 시스템 전반에 대한 막강한 권한을 가지기 때문에 해커들의 주요 타깃이 됩니다. MFA가 적용되지 않은 관리자 계정은 단일 비밀번호 유출이나 무차별 대입 공격(Brute Force)만으로도 무력화될 위험이 매우 큽니다. 특히 가스기술공사와 같은 에너지 기반 시설의 시스템 제어권이 탈취될 경우, 단순한 정보 유출을 넘어 국가적 차원의 가스 공급 중단이나 대형 안전사고로 이어질 수 있어 그 영향 범위가 매우 치명적입니다.
이러한 보안 구멍을 메우기 위해서는 우선 관리자 및 주요 권한을 가진 모든 계정에 강력한 다중인증(MFA)을 즉시 의무 적용해야 합니다. 아울러 단순 체크리스트식 자체 점검에서 벗어나, 외부 전문 기관을 통한 실질적인 모의 침투 테스트와 보안 감사를 정례화해야 합니다. 나아가 퇴직자 계정의 즉각적인 권한 회수와 계정 관리 라이프사이클 전반에 대한 철저한 통제 체계 재정비가 시급합니다.
♥ 추천 0
관리자 계정의 MFA 미적용은 제로 트러스트(Zero Trust) 아키텍처 관점에서 즉각적인 패치가 필요한 최우선 보안 결함입니다. TOTP나 WebAuthn 라이브러리를 활용한 MFA 도입은 인프라 및 소스코드 수정 공수가 그리 크지 않음에도, 이를 방치한 채 점검을 통과시킨 것은 형식적인 체크리스트 운영의 한계를 보여줍니다. 보여주기식 점검 대신 IAM(계정 및 권한 관리) 시스템의 인증 로직 고도화와 API 엔드포인트 보안 강화를 시급히 진행해야 합니다.
관리자 계정에 MFA가 없다는 건 공격자에게 비밀번호 하나로 인프라 전체 제어권을 넘겨주겠다는 것과 다름없는 치명적인 공격 경로입니다.
피싱이나 크리덴셜 스터핑 성공 시 곧바로 내부망 진입과 횡적 이동(Lateral Movement)으로 이어지는 실질적 악용 가능성이 매우 높은 상황인데, 이를 '취약점 0건'으로 평가한 것은 심각한 보안 착시입니다.
실제 레드팀 침투 시나리오였다면 점검 당일 최우선 공격 타깃이 되었을 최악의 보안 구멍입니다.
관리자 계정의 MFA 미적용이라는 치명적 리스크가 존재함에도 ‘취약점 0건’으로 보고된 것은 내부 보안 감사 체계의 심각한 형해화를 보여줍니다. 실체 없는 안전감(False sense of security)은 실제 위기 상황에서 조직을 가장 위험하게 만드는 근본 원인입니다. 국가 주요 기반시설을 관리하는 기관으로서 형식적 점검에서 벗어나, MFA 의무화 등 기본 보안 정책의 이행 여부를 즉각 재검증하고 보안 거버넌스를 엄격히 바로잡아야 합니다.