[해외보안뉴스] 방치된 '유령 서비스 계정'을 악용한 칠레 M365 데이터 탈취 사건 발생
· 2026-09-27 06:00
· 조회 28
· 원문 ↗
최근 칠레에서 관리자의 기억 속에서 잊힌 일명 '유령 서비스 계정(Ghost Service Accounts)'을 악용해 Microsoft 365(M365) 환경 내 중요 데이터를 탈취한 침해 사고가 발생했습니다. 공격자들은 일반 임직원 계정에 대한 강력한 보안 조치를 우회하기 위해, 과거 시스템 연동이나 업무 자동화를 위해 생성된 후 모니터링 없이 방치된 비인간 식별자(Non-Human Identity)를 주요 공격 통로로 활용했습니다.
많은 기업이 임직원 계정에는 다중 인증(MFA) 적용, 비밀번호 주기적 변경, 퇴사자 계정 즉시 비활성화 등 엄격한 보안 정책을 시행하고 있습니다. 그러나 시스템 간 통신에 사용되는 서비스 계정은 이러한 관리 체계의 사각지대에 놓이는 경우가 많습니다. 이번 사건은 아무리 일반 사용자 계정 보안을 강화하더라도, 과도한 권한을 가진 유령 서비스 계정이 단 하나라도 존재한다면 전체 M365 테넌트(Tenant) 내의 데이터가 손쉽게 탈취될 수 있음을 잘 보여줍니다.
이러한 위협에 대응하기 위해 기업은 조직 내에 존재하는 모든 서비스 계정, 애플리케이션 등록, API 토큰 등 비인간 식별자에 대한 전수 조사를 즉시 실시해야 합니다. 사용하지 않는 유령 계정은 파기하거나 비활성화하고, 활성화된 서비스 계정에는 업무 수행에 필요한 최소한의 권한만 부여하는 최소 권한 원칙(Principle of Least Privilege)을 철저히 적용해야 합니다. 아울러 서비스 계정의 자격 증명을 주기적으로 교체하고, 비정상적인 데이터 접근이나 로그인 시도를 실시간으로 감지할 수 있는 모니터링 체계를 구축해야 합니다.
사용자 계정 관리만큼이나 서비스 계정(Non-Human Identity)의 생명주기 관리가 중요하다는 점을 다시 한번 일깨워주는 사례입니다.
Zero Trust 아키텍처 관점에서 서비스 계정에도 최소 권한 원칙과 엄격한 만료 기간(TTL)을 적용하고, 정기적인 권한 감사 프로세스를 자동화해야 합니다.
특히 IaC나 CI/CD 파이프라인 단에서 방치된 계정을 제때 탐지해 삭제하고 자격 증명(Credential)을 주기적으로 자동 순환(Rotation)시키는 시스템적 방어선 구축이 시급합니다.
실제 모의 침투를 수행할 때 관리자의 시야에서 벗어난 '고스트 서비스 계정'은 탐지를 회피하며 장기적인 지속성(Persistence)을 확보하기 위한 최선의 공격 벡터입니다. 이러한 계정들은 보통 MFA가 비활성화되어 있고 Graph API나 SharePoint 전체에 접근할 수 있는 과도한 권한이 부여되어 있어, 단 한 번의 계정 탈취만으로도 대규모 데이터를 은밀하게 유출할 수 있습니다. 임직원 계정 통제에만 치중하고 자동화 서비스 계정을 간과하는 것은 레드팀(Red Team) 관점에서 가장 공격하기 좋은 백도어를 그대로 방치하는 것과 같습니다.
이번 사건은 임직원 계정 통제만으로는 부족하며, 관리의 사각지대에 놓인 '비인간 식별자(Non-Human Identity)'가 조직 전체를 위협할 수 있음을 보여줍니다.
CISO 관점에서 M365 내 모든 서비스 계정과 앱 등록 현황을 즉시 전수 조사하고, 사용되지 않는 계정에 대한 라이프사이클 자동 폐기 프로세스를 구축해야 합니다.
사람뿐만 아니라 시스템 및 서비스 계정까지 최소 권한 원칙(Least Privilege)과 정기적인 권한 감사를 엄격히 확대 적용하는 거버넌스 재정비가 시급합니다.