퇴사자와 연결된 API 키: 근거 확인과 대응

2026년 10월 4일 수정. 이전 글은 가상 침해 사례에 정확한 시각과 인물, 키 사용 기간을 붙여 실제 사고처럼 설명했습니다. 그 내용은 실제 사건의 근거가 아닙니다. 이 글은 비활성 계정과 연결된 키를 조사할 때 확인할 기록을 정리합니다.

단서: 비활성 작성자와 아직 작동하는 키

연결된 소스에서 발견한 키는 커밋 작성자와 연결된 계정이 비활성 상태여도 작동할 수 있습니다. 이 불일치는 조사할 만한 단서입니다. 하지만 그 사람이 지금도 키의 소유자인지, 공격자가 키를 얻었는지, 퇴사 후 누군가 사용했는지는 이 단서만으로 알 수 없습니다.

OWASP는 불필요하거나 담당자가 사라진 비인간 계정을 남기는 문제를 부적절한 오프보딩으로 설명합니다. OWASP의 공격 경로는 위험을 보여 주는 예시이며 특정 기업에서 실제로 발생한 사건의 측정값은 아닙니다. 키를 커밋한 사람과 현재 서비스 담당자는 다를 수 있습니다.

네 가지 기록을 따로 확인하기

첫째, 디렉터리에서 어느 계정이 언제 비활성으로 바뀌었고 커밋 작성자와의 매칭이 정확한지 확인합니다. 둘째, 소스 기록에서 키가 발견된 위치와 노출 범위, 브랜치나 산출물에 남은 복사본을 확인합니다. 커밋 작성자는 발견 위치에 관한 단서이지 현재 소유자의 증거는 아닙니다.

셋째, 발급처를 찾고 지원되는 안전한 방법으로 키의 유효성을 확인합니다. 권한, 접근 제한, 연결된 작업도 기록합니다. AWS 액세스 키라면 IAM 자격증명 보고서에서 상태와 마지막 사용 관련 항목을 볼 수 있지만 보고 범위에는 한계가 있습니다. 실제 활동을 판단하려면 관련 감사 로그를 별도로 살펴야 합니다.

넷째, 현재 서비스 담당자를 찾고 조치를 정합니다. 여전히 키가 필요한 작업이 있는지, 누가 교체할 수 있는지, 비활성화하면 무엇이 중단되는지 확인합니다. 각 결론을 뒷받침하는 기록을 남기세요. 담당자를 아직 모른다면 조사를 확대해야 하며, 확인되지 않은 침해를 확정 사고로 적어서는 안 됩니다.

차단과 재발 방지

노출된 키가 아직 작동할 가능성이 있다면 신속히 차단을 조율합니다. 필요한 경우 새 키를 발급해 연결 작업을 옮기고, 발급처에서 기존 키를 비활성화하거나 삭제한 뒤 더 이상 통하지 않는지 확인합니다. AWS는 되돌릴 수 있는 비활성화와 삭제를 구분합니다. 실제 연결 작업과 사고 위험에 따라 순서를 정해야 하며, 이 단서에 일률적인 90일 교체 규칙이 붙는 것은 아닙니다.

발급처 로그에서 해당 기간의 사용 흔적을 살피고, 기록이 없는 구간도 적습니다. 그다음 승인된 소스의 불필요한 복사본을 정리하고 담당자와 최종 조치를 기록합니다. 저장소에서 키를 지우거나 직원 계정을 비활성으로 바꿔도 발급처의 키가 자동으로 폐기되지는 않습니다.

Cremit이 보여 주는 범위

Cremit의 Ghost Key 체크리스트는 자격증명 확인 상태가 활성 또는 수동 활성이고, 발견 기록 중 하나의 작성자가 비활성으로 표시된 경우를 보여 줍니다. 연결된 소스와 지원되는 확인 기능 안에서 조사 대상을 좁히는 단서입니다. 현재 서비스 담당자, 모든 복사본, 실제 악용 여부를 확인하거나 키를 자동으로 폐기하지는 않습니다. 키 상태와 사용 기록은 발급처에서 확인해야 합니다.