Shadow IT이란?

Cremit이 정리한 자격증명 위험 패턴 8가지 시리즈입니다. Ghost, Shadow, Aged, Zombie, Drifted, Over-privileged, Public, Unattributed를 다룹니다. 각 이름은 소유자·현재 유효성·접근 범위·증거를 확인하기 위한 출발점이며, 이름만으로 침해가 확인되지는 않습니다.

워크로드가 실제 업무에 필요한 것보다 더 큰 IAM 권한을 가진 기계 신원. OWASP NHI5:2025는 이를 상위 5대 NHI 리스크로 지목합니다. 읽기 전용 배치 작업이 관리자 권한으로 돌면 자격증명 유출 시 실제 필요량보다 훨씬 큰 피해를 냅니다. 정책 복사 붙여넣기, 기본 role 사용, 일회성 작업 후 권한 축소 누락이 주원인입니다.

제3자 NHI는 벤더 API 키, 봇 토큰, OAuth 권한 부여처럼 외부 연동이 자사 시스템이나 데이터에 접근할 때 쓰는 기계 신원 또는 자격증명입니다. OWASP NHI3:2025는 이런 연동의 위험을 다룹니다. 누가 연결을 승인했는지, 무엇에 접근할 수 있는지, 어떻게 감시하고 폐기할지 기록해야 합니다.

소유자가 퇴사했거나 식별 불가능해졌지만 여전히 유효한 API 키 또는 자격증명. NHI Kill Chain의 한 항목입니다.

과다 공유된 키는 하나의 자격증명을 여러 프로젝트·환경·도구에 복사해 쓴 경우입니다. 발급처에서 옛 값을 폐기하면 그 값은 모든 사용처에서 무효가 되지만, 의존 시스템마다 새 값을 적용하고 노출된 복사본도 조사해야 합니다. 복사본이 많을수록 소유자와 교체 대상을 찾기 어려워집니다.

수개월에서 수년간 교체되지 않은 장기 자격증명. 시간이 피해를 키웁니다. 유출될 기회가 충분했고, 공격자는 계속 유효할 거라는 예측 가능성 위에서 공격을 계획할 수 있습니다.