[해외보안뉴스] 제로 트러스트 아키텍처의 초기 허점: 신규 사용자 온보딩 단계의 보안 위험

보안 솔루션 기업 Specops는 최근 제로 트러스트(Zero Trust) 아키텍처가 가진 치명적인 맹점인 '첫날의 구멍(Day-One Hole)'에 대해 경고했습니다. 제로 트러스트 모델은 '절대 신뢰하지 않고 항상 검증한다'는 원칙을 기반으로 시스템을 보호하지만, 신규 임직원이나 사용자를 시스템에 등록하는 '온보딩(Onboarding)' 초기 단계에서는 강한 인증 수단이 마련되어 있지 않아 시스템이 일시적으로 신뢰를 허용할 수밖에 없는 구조적 한계가 존재합니다.

이러한 보안 허점은 제로 트러스트 아키텍처를 도입한 모든 기업과 기관에 직접적인 영향을 미칩니다. 공격자들은 신규 입사자나 헬프데스크를 상대로 소셜 엔지니어링 공격을 수행하거나, 이메일·SMS 등 보안이 취약한 채널로 전달되는 임시 자격 증명을 탈취하는 방식으로 이 틈새를 노립니다. 공격자가 초기 온보딩 단계를 통과하여 자신의 MFA(다중 요소 인증) 기기를 등록하게 되면, 이후에는 정상적인 권한을 가진 내부자로 위장하여 기업의 핵심 자원에 손쉽게 접근할 수 있습니다.

이 같은 위협에 대응하기 위해서는 계정 자격 증명, MFA 등록, 접근 권한이 부여되기 '전' 단계부터 철저한 신원 검증이 시작되어야 합니다. 기업은 단순한 임시 비밀번호 발급 방식을 지양하고, 온보딩 전용 생체 인증이나 고도화된 본인 확인 절차를 도입해야 합니다. 또한, 헬프데스크의 본인 확인 표준을 강화하고 TAP(Temporary Access Pass)과 같은 안전한 일회성 인증 방식을 적용하여 초기 권한 부여 과정에서의 보안 공백을 신속히 메워야 합니다.