이 글은 기업이 '제로 트러스트' 보안을 도입해도, 신입사원 온보딩이나 서비스데스크처럼 사람이 직접 신원을 확인하는 지점에서는 여전히 공격에 취약하다고 지적합니다. 실제로 FBI는 북한 IT 인력이 가짜 신분증과 위장 지원으로 기업에 취업해 내부망에 접근한 사례를 반복적으로 경고해왔습니다. 문제는 이렇게 처음부터 잘못된 사람에게 계정과 MFA(다중 인증), 기기를 정상적으로 발급해주면, 이후 아무리 강력한 인증 체계를 갖춰도 그 허점을 바로잡을 수 없다는 점입니다. 이 기사는 Specops Software의 "Secure Onboarding" 제품을 소개하며, 신분증 스캔과 생체 인증(라이브니스 체크)을 온보딩과 서비스데스크 절차에 필수화해 이런 위험을 줄일 수 있다고 홍보합니다.
신입 직원 온보딩과 서비스데스크의 신원 확인 절차가 허술해, 공격자가 가짜 신분으로 정상 계정과 MFA, 기기를 발급받을 수 있는 구조적 허점이 있다는 지적.
한 번 잘못된 신원으로 계정이 만들어지면 이후의 강력한 인증 체계도 이를 바로잡지 못하며, 공격자가 정상 절차를 통해 내부 시스템에 지속적으로 접근할 수 있다.
기존 직원에 대해서는 등록된 인증 수단(인증 앱, 등록 기기 등)으로 신원을 검증할 수 있지만, 신입 직원은 아직 이런 수단이 없어 담당자의 수동 판단에 의존하게 되는 것이 근본 원인이다.
FBI는 채용 과정과 재직 기간 내내 원격 근무자에 대한 신원 확인을 권고하며, 기사에서 소개하는 Specops Secure Onboarding 제품은 정부 발급 신분증 스캔과 생체 라이브니스 체크를 온보딩·서비스데스크 절차에 의무화하는 방식을 제안한다.
조직은 기존 계정 인증뿐 아니라 '신규 신원 생성' 단계에도 동일한 수준의 검증을 적용해야 하며, 특히 Day 1 온보딩과 민감한 서비스데스크 요청 시 별도의 신원 증명 절차를 마련해야 한다.
본문
제로 트러스트(Zero Trust) 원칙은 이제 기업 인프라에서 보편화되었습니다. 조직들은 신원과 시스템을 정교한 공격으로부터 보호하는 조치에 수년간 투자해왔습니다.
하지만 인간의 실수는 여전히 아무리 견고하게 방어된 조직이라도 쉽게 뚫을 수 있는 경로이며, 특히 신뢰가 수작업으로 형성되는 지점에서 그렇습니다. 온보딩과 서비스데스크 절차는 자연스러운 취약 지점입니다. 담당자(agent)가 제한된 맥락 속에서 영향력이 큰 접근 결정을 내려야 하는 반면, 공격자는 단 한 사람만 자신이 주장하는 신분이라고 설득하면 되기 때문입니다.
기존 직원의 경우 담당자가 신원을 확인할 방법이 많습니다. 하지만 신입 직원은 보통 그런 검증 수단을 아직 설정하지 않았음에도, 조직은 여전히 신뢰를 형성해야 합니다. 그리고 최초 확인이 허술하면, 그 뒤에 이어지는 통제들로는 이를 바로잡을 수 없습니다.
따라서 조직은 신원을 확실하게 검증하고, 공격자들이 점점 더 많이 노리는 이 허점을 메울 견고한 방법이 필요합니다.
가짜 신원 문제
FBI는 북한 IT 인력이 도난당하거나 위조된 신원을 이용해 원격 근무 일자리를 얻고 기업 네트워크에 접근하고 있다고 거듭 경고해왔습니다. 일부 경우에는 이들이 허위 신분증, 프록시 인프라, 미국 내 협력자를 이용해 자신을 정당한 지원자처럼 보이게 만들었습니다.
이는 일반적인 신원 보안 모델을 뒤집습니다. 보통의 침입 기법은 공격자가 직원의 자격 증명을 훔쳐 이를 이용해 접근하는 방식입니다. 그러나 온보딩 공격에서는 공격자가 채용 절차를 통과하고, 조직이 직접 그들을 위한 자격 증명을 생성해줍니다.
북한의 가짜 직원 사기는 지속적인 위협이며, FBI는 이제 채용 과정과 원격 근무자의 재직 기간 내내 신원 확인을 권고하고 있습니다. 더 넓은 교훈은, 조직이 이미 존재하는 신원을 인증할 때와 동일한 수준의 엄격함을 신원을 새로 생성할 때도 적용해야 한다는 것입니다.
강력한 MFA도 등록(enrollment) 단계는 취약하다
신입 직원이 온보딩을 통과하면, 서비스데스크가 이들의 설정 과정에 깊이 관여하는 경우가 많습니다. 담당자는 계정 활성화, 초기 자격 증명 발급, MFA 등록, 패스키나 보안 키 등록, 회사 기기 설정 등을 도와줄 수 있습니다.
만약 잘못된 사람이 이 단계에 도달하면, 강력한 인증으로도 그 실수를 바로잡을 수 없습니다. 공격자는 결국 MFA로 보호되고 신뢰받는 기기와 연결된 계정을 정상적인 절차를 통해 손에 넣게 될 수 있습니다.
사용자는 특히 이 '자격 증명 부트스트래핑(credential bootstrapping)' 단계에서 취약합니다. 피싱에 강한 자격 증명이 등록되기 전까지 더 약한 인증 수단에 의존해야 할 수 있기 때문입니다. 이 구간을 노려 침투하는 공격자는 등록 절차를 방해하고, 더 강력한 통제가 완전히 자리 잡기 전에 지속적인 접근 권한을 확보할 수 있습니다.
첫날(Day One)에는 별도의 신원 검증 계층이 필요하다
인증(authentication)은 누군가가 계정에 연결된 자격 증명을 실제로 통제하고 있는지를 묻습니다. 신원 증명(identity proofing)은 눈앞에 있는 사람이 조직이 그 계정을 부여하려는 바로 그 사람인지를 묻습니다.
기존 직원이라면 등록된 인증 앱이나 등록된 기기 같은 신뢰 요소가 많은 서비스데스크 요청에 충분한 확신을 제공할 수 있습니다. 반면 신입 직원은 아직 회사 지급 기기도, 조직이 신뢰할 수 있는 어떤 인증 요소도 갖추지 못했을 수 있습니다.
즉, 첫날(Day One)에는 그 자체의 검증 절차가 필요합니다. 특히 사용자가 민감한 시스템에 대한 접근 권한을 받으려 하거나, 앞으로 자신을 대표하게 될 자격 증명을 등록하려 할 때는 더욱 그렇습니다.
정부 발급 신분증을 검증하고 이를 생체 라이브니스 체크(biometric liveness check)와 결합하는 등 강력한 형태의 신원 증명은, 기존 인증 요소가 없는 상황에서도 확신을 제공할 수 있습니다. 이는 조직이 신뢰를 부여하기 시작하기 전에 그 사람에 대한 확신을 쌓는 데 도움이 됩니다.
신원 검증을 워크플로우의 일부로 만들기
Specops Secure Onboarding과 같은 솔루션은 이 원칙을 적용하여, 신원 검증을 서비스데스크 담당자의 사안별 판단에 맡기는 대신 온보딩 절차의 필수 단계로 만듭니다.
온보딩은 보통 신뢰가 처음 형성되는 지점이기 때문에, 이 단계에서 신원이 제대로 확립되지 않으면 그 이후의 모든 통제는 잘못된 토대 위에 세워지게 됩니다.
신입사원을 위해 Specops Secure Onboarding은 정부 발급 신분증 스캔 및 검증을 생체 라이브니스 탐지와 결합합니다. 이를 통해 조직은 자격 증명, MFA 방식, 기기, 애플리케이션 접근 권한이 발급되기 전에, 온보딩되는 사람이 실제로 본인이 주장하는 사람이라는 더 높은 수준의 확신을 얻을 수 있습니다.
같은 원칙은 온보딩 이후에도 이어집니다. 해당 직원이 이후 도움을 받기 위해 서비스데스크에 연락하면, Specops Secure Onboarding은 담당자가 처리를 진행하기 전에 신뢰할 수 있는 인증 요소를 이용해 신원을 검증하도록 요구합니다.
이는 절차에서 많은 추측을 제거합니다. 담당자는 전화한 사람이 설득력 있게 들리는지, 제공한 정보가 충분히 믿을 만한지를 스스로 판단할 필요가 없습니다. 대신 검증은 워크플로우 자체의 일부가 됩니다.
제로 트러스트는 첫 로그인 이전부터 시작되어야 한다
조직들은 사용자가 환경 내부에 들어온 이후에는 이들을 검증하는 데 훨씬 능숙해졌습니다. 다음 단계는 그 신원이 처음 생성되는 순간에도 동일한 사고방식을 적용하는 것입니다.
신입 직원은 단지 온보딩 이메일이 맞는 받은편지함에 도착했다거나 서비스데스크 담당자가 전화 건 사람의 말에 설득되었다는 이유만으로 신뢰받는 존재가 되어서는 안 됩니다. 신원은 자격 증명과 접근 권한이 발급되기 전에 확립되어야 하며, 민감한 지원 요청이 발생할 때 다시 한번 검증되어야 합니다.
온보딩 및 서비스데스크 절차 전반에 걸쳐 신원 검증을 강화하고 싶으시다면, Specops와의 데모를 예약하여 저희 솔루션이 어떻게 도움이 될 수 있는지 알아보세요.
Specops Software 제공 및 작성.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
