클라우드 기반 서비스와 소프트웨어 개발 협업 환경이 확대되면서 접근키, 인증토큰, API 키 등 자격증명 정보의 중요성이 커지고 있습니다. 개인정보보호위원회는 최근 국내외에서 개발 협업도구와 클라우드 환경에 저장된 자격증명이 외부에 노출되거나 탈취돼 개인정보가 유출되는 사고가 잇따르고 있다고 밝혔습니다.
특히 깃허브(GitHub) 같은 개발 협업도구에 저장된 소스코드에서 클라우드 접근키나 API 키가 노출되는 사례가 확인되고 있습니다. 개발자가 관리 편의를 위해 소스코드에 자격증명 정보를 저장할 경우, 공격자가 이를 악용해 개인정보처리시스템에 접근할 수 있어 각별한 주의가 필요합니다.
실제로 국내에서 발생한 사례를 보면, A사는 스피어피싱 메일을 통해 깃허브 계정 접근권한을 확보당한 후 AWS 접근키를 획득해 내부 데이터베이스에 저장된 개인정보 약 240만 건이 열람됐습니다. B사는 깃허브에 평문으로 저장된 데이터베이스 접속정보가 노출돼 개인정보 약 42만 건이 유출됐고, C사는 깃허브에 노출된 AWS 접근키를 통해 개인정보 약 1천만 건이 유출됐습니다. D사 역시 깃허브 소스코드에 하드코딩된 시스템 접근 자격증명이 노출돼 개인정보 유출 사고를 겪었습니다.
이에 개인정보위는 클라우드 환경이나 개발 협업도구를 사용하는 사업자에게 여러 보호조치를 권고했습니다. 먼저 소스코드에 접근키, 비밀번호, API 키 등 자격증명이 저장되거나 노출되지 않도록 설정과 관리를 철저히 해야 합니다. 장기 자격증명 대신 일정 시간 이후 자동으로 만료되는 임시 자격증명을 사용하는 것이 좋습니다. 예를 들어 AWS IAM Role 기반 접근통제 체계는 일정 시간 동안만 유효한 임시 자격증명을 발급해 운영할 수 있습니다.
또한 자격증명이 사용 가능한 IP주소나 네트워크 구간을 제한해 외부에서의 무단 사용을 방지해야 합니다. 데이터베이스와 클라우드 관리 콘솔 등 주요 시스템에는 다중 인증(MFA)을 적용하고, 최소권한 원칙에 따라 접근권한을 부여해야 합니다. 자격증명 사용 내역을 정기적으로 점검하고, 불필요하거나 장기간 사용되지 않은 접근권한은 즉시 회수하는 것이 중요합니다.
구체적인 조치 사례로는 협업도구에서 자격증명 파일이나 인증서 파일이 관리되지 않도록 제외 설정을 하는 방법이 있습니다. 깃허브의 경우 .gitignore 파일에 인증서나 환경설정 파일(.env) 등을 등록하면 코드저장소 업로드 대상에서 제외할 수 있습니다. 기밀정보 자동 탐지 도구를 활용해 코드저장소 업로드 전 자격증명 노출 여부를 점검하는 것도 효과적입니다. 깃허브에서 제공하는 'Secret Scanning'이나 'Push Protection' 같은 기능을 활용할 수 있습니다.
소프트웨어 엔지니어를 대상으로 정기 교육을 실시하고, 코드 리뷰 과정에서 하드코딩된 비밀번호나 접근키 등 자격증명 포함 여부를 확인해야 합니다. 자격증명 노출이 확인된 경우에는 해당 자격증명을 즉시 폐기하고 새 자격증명으로 교체하는 등 신속한 대응이 필요합니다.
양청삼 개인정보위 사무처장은 "클라우드 환경에서는 접근키, 데이터베이스 계정, API 키 등 자격증명 하나만으로도 중요 시스템에 접근할 수 있는 만큼, 안전한 계정·권한관리가 무엇보다 중요하다"고 강조했습니다. 이어 "사업자는 자격증명이 소스코드나 개발 협업도구에 저장되지 않도록 관리하고, 임시 자격증명 사용과 접근통제 강화를 통해 개인정보 유출사고를 예방해야 한다"고 당부했습니다.
또한 "실수로 자격증명을 코드저장소에 업로드한 경우 작업 공간에서 삭제하더라도 형상관리 이력에 해당 정보가 남을 수 있다"며 "즉시 해당 자격증명을 폐기하고 새로운 자격증명으로 교체 발급하는 등 신속한 조치를 취하는 것이 바람직하다"고 덧붙였습니다.
