Vulnerable Third-Party NHI이란?

Cremit이 정리한 자격증명 위험 패턴 8가지 시리즈입니다. Ghost, Shadow, Aged, Zombie, Drifted, Over-privileged, Public, Unattributed를 다룹니다. 각 이름은 소유자·현재 유효성·접근 범위·증거를 확인하기 위한 출발점이며, 이름만으로 침해가 확인되지는 않습니다.

워크로드가 실제 업무에 필요한 것보다 더 큰 IAM 권한을 가진 기계 신원. OWASP NHI5:2025는 이를 상위 5대 NHI 리스크로 지목합니다. 읽기 전용 배치 작업이 관리자 권한으로 돌면 자격증명 유출 시 실제 필요량보다 훨씬 큰 피해를 냅니다. 정책 복사 붙여넣기, 기본 role 사용, 일회성 작업 후 권한 축소 누락이 주원인입니다.

보안팀이 모르는 상태에서 직원이 도입한 도구·서비스·통합. NHI 세계에서 shadow IT는 인벤토리에 올라오지 않는 shadow 서비스 계정, shadow API 키, shadow OAuth grant를 만들어 냅니다.

소유자가 퇴사했거나 식별 불가능해졌지만 여전히 유효한 API 키 또는 자격증명. NHI Kill Chain의 한 항목입니다.

과다 공유된 키는 하나의 자격증명을 여러 프로젝트·환경·도구에 복사해 쓴 경우입니다. 발급처에서 옛 값을 폐기하면 그 값은 모든 사용처에서 무효가 되지만, 의존 시스템마다 새 값을 적용하고 노출된 복사본도 조사해야 합니다. 복사본이 많을수록 소유자와 교체 대상을 찾기 어려워집니다.

수개월에서 수년간 교체되지 않은 장기 자격증명. 시간이 피해를 키웁니다. 유출될 기회가 충분했고, 공격자는 계속 유효할 거라는 예측 가능성 위에서 공격을 계획할 수 있습니다.