고스트 어드민 계정, 조직의 보안 위협

기업 인프라 내에서 가장 위험한 보안 위협은 외부 공격이 아니라, 관리자가 없으면서도 데이터 관리와 접근 권한을 완전히 통제할 수 있는 고스트 어드민 계정이다. 이러한 계정은 적절한 거버넌스와 감독 없이 방치되어 있다. 케이오소프트의 기술 전문가 크레이그 버치는 고스트 어드민이 주로 자동화 작업을 실행하기 위해 생성된 서비스 계정으로 시작한다고 설명한다. 예를 들어, 늦은 밤의 데이터 백업 작업이나 정기적인 보고서 생성 작업 등이 이에 해당한다. 이러한 계정은 IT 팀의 부담을 줄이는 데 도움이 되지만, 원래 관리자가 퇴사하거나 프로젝트가 종료된 후에도 권한이 철회되지 않는 경우가 많다. 또한, 키와 비밀번호는 종종 작업 관리 시스템, 코드, 또는 내부 커뮤니케이션 채널에 방치되어 있다. 이로 인해 해커는 시스템이 처음부터 규칙에 맞게 올바른 것으로 간주하는 계정을 통해 권한을 위장하여 액티브 디렉터리와 핵심 인프라에 침입할 수 있으며, 이 과정에서 경고 신호가 발생하지 않는다. 노우비4의 CISO 어드바이저 에릭 크론은 이러한 계정이 종종 급박한 업무 프로세스에서 발생한다고 지적한다. 예를 들어, 시스템이 빠르게 작동하도록 즉각적인 기술 문제를 해결하기 위해 일반 계정에 높은 수준의 권한을 부여하거나, 온프레미스 시스템을 클라우드 이메일과 애저 액티브 디렉터리와 같은 클라우드 서비스로 이전하는 과정에서 발생한다.

또한, 테스트 환경에서 작업이 종료된 후에도 권한이 제거되지 않은 글로벌 어드민 권한도 포함된다. 이 상황은 다음과 같은 심각한 취약점을 초래한다. 다중 인증 부재: 베리존의 2026년 데이터 유출 조사 보고서에 따르면, 조사된 조직의 3분의 1 이상, 즉 약 37%가 인프라-as-a-서비스 시스템 내의 관리자 계정에 대한 다중 인증을 비활성화하고 있다. 비밀번호 미변경: 프로프트포인트는 칠레에서 발생한 공격 사례를 보고했는데, 해커는 적절한 사용 기준이 설정되지 않고, 예측 가능한 초기 비밀번호가 사용되며, 비밀번호가 전혀 회전되지 않은 방치된 서비스 계정 7개를 성공적으로 장악했다. 고스트 어드민에 대한 위험을 관리하려면 엔드포인트 보호 도구에만 의존할 수 없으며, 엄격한 신원 제어 정책을 수립하고 검증하는 것에서 시작해야 한다. 실제 사용 현황을 감사하고 인벤토리를 작성해야 한다. 모든 서비스 계정에 대한 감사를 수행하고, 최근 사용 이력을 확인해야 한다. 예를 들어, 90일 이상 로그인하지 않은 계정을 확인하는 시스템의 자동 발견 기능을 사용할 수 있다. 단계적으로 권한을 제거해야 한다.