Sophos: 2025년 기업 71%가 신원 침해 피해
Sophos의 주요 새 보고서는 보안 전문가들이 수년간 경고해 온 문제에 대해 충격적인 수치를 제시했습니다. 전 세계 조직의 71%가 지난 1년 동안 최소 한 번 이상의 신원 관련 보안 침해를 경험했습니다. 이 결과는 신원 기반 공격이 더 이상 틈새 위협이 아니라 공격자가 기업 환경 내부에 거점을 마련하는 지배적인 방식이 된 시점에 나왔습니다. 기업과 개인 모두에게 이 데이터는 신원 위생을 더 이상 부차적인 문제로 취급할 수 없다는 분명한 신호입니다.
Sophos 데이터가 드러내는 신원 침해의 빈도와 범위
Sophos의 조사 결과가 보여주는 규모는 무시하기 어렵습니다. 산업과 지역을 막론하고 거의 4곳 중 3곳의 조직이 단 한 해 동안 신원 관련 침해를 경험했습니다. 이는 소수의 유명 표적에 국한된 이야기가 아니라, 조직이 시스템 접근 권한을 누구에게 어떻게 부여하는지 관리하는 방식에 광범위하고 체계적인 취약점이 있음을 반영합니다.
신원 관련 침해는 중요한 점에서 전통적인 네트워크 침입과 다릅니다. 방화벽을 뚫는 대신 공격자는 합법적으로 보이는 접근 권한을 부여하는 자격 증명이나 토큰을 탈취합니다. 내부에 들어가면 측면 이동하고 권한을 상승시키며, 적어도 처음에는 인가된 사용자처럼 보이면서 데이터를 유출할 수 있습니다. 이로 인해 탐지가 더 느려지고 복구가 더 복잡해집니다.
신원 관리 실패로 인한 현실의 결과는 2025년 내내 헤드라인을 장식했습니다. 얼럿 360 침해로 250만 건의 기록이 유출된 사건과 서드파티 공급업체를 통해 거의 20만 고객에게 영향을 미친 자라 침해 사건은 모두 직접적인 공격을 통해서든 공급망 노출을 통해서든 접근 권한 탈취가 어떻게 대규모 데이터 손실로 이어질 수 있는지 보여줍니다.
비인간 신원과 API 키가 주요 표적이 되는 이유
Sophos 보고서에서 특히 주목할 만한 미래 지향적 발견 중 하나는 비인간 신원에 대한 관심입니다. 이 범주에는 API 키, 서비스 계정, 자동화 스크립트, 그리고 점차 자율적으로 작업을 수행하기 위해 시스템 접근 권한을 부여받는 AI 에이전트가 포함됩니다.
조직이 AI 기반 도구를 도입하고 더 많은 워크플로를 자동화함에 따라, 자격 증명과 권한을 보유한 비인간 행위자의 인벤토리가 증가하고 있습니다. 문제는 이러한 신원이 자주 잘못 관리된다는 점입니다. 권한이 지나치게 광범위하고, 자격 증명이 거의 교체되지 않으며, 비정상적인 행동에 대한 모니터링은 기껏해야 일관성이 없습니다.
코드 저장소에 포함된 API 키나 프로덕션 데이터베이스에 쓰기 권한이 부여된 AI 에이전트는 공격자에게 높은 가치의 표적이 됩니다. 인간 사용자 계정과 달리 비인간 신원은 동일한 수명 주기 관리가 부족한 경우가 많아 필요하지 않은 상태로 오래 남아 있을 수 있고, 침해되어도 눈에 띄지 않을 수 있습니다. Sophos 보고서는 이러한 잘못된 관리를 71%라는 수치를 이끄는 주요 공격 벡터 중 하나로 지목합니다.
인간의 실수가 신원 보안의 가장 약한 고리인 이유
비인간 신원 위험의 증가와 함께 Sophos의 조사 결과는 인간의 실수가 충분한 자원을 갖춘 보안 프로그램조차 약화시킨다는 점을 확인시켜 줍니다. 피싱은 여전히 놀라울 정도로 효과적입니다. 개인 계정과 업무 계정 간의 자격 증명 재사용은 공격자가 소비자 침해에서 기업 환경으로 전환할 수 있는 경로를 만듭니다. 그리고 편의를 위해 생성되었지만 범위가 제대로 설정되지 않은 과도한 권한의 계정은 공격자에게 도달해서는 안 되는 수준의 접근 권한을 부여합니다.
초기 접근 권한을 얻은 후 침해가 얼마나 빨리 확대되는지에서도 인간 요소는 분명하게 드러납니다. 광범위한 관리자 권한을 가진 단일 계정이 침해되면 몇 시간 내에 수천 건의 기록이 노출될 수 있습니다. 180만 명의 개인에게 영향을 미친 NYC Health 침해 사건에서 본 것처럼, 복잡한 시스템의 어느 수준에서든 신원 관리가 잘못되면 의료 분야가 특히 취약한 것으로 입증되었습니다.
교육과 인식 제고 프로그램이 도움이 되지만 그 자체로 충분하지는 않습니다. Sophos 데이터는 조직이 단순히 직원들이 매번 올바른 행동을 하도록 기대하는 정책이 아니라, 인간의 실수로 인한 피해 범위를 줄이는 구조적 통제 장치가 필요함을 시사합니다.
심층 방어: 신원 보호에서 VPN과 개인정보 보호 도구의 역할
어떤 단일 도구도 신원 보안 문제를 해결해 주지 않으며, 바로 그 점이 핵심입니다. 한 계층의 실패가 곧바로 완전한 침해를 의미하지 않도록 여러 보안 통제 장치를 계층화하는 심층 방어 개념은, Sophos 조사 결과가 암묵적으로라도 주장하는 프레임워크입니다.
VPN은 이 스택에서 특정하면서도 중요한 역할을 합니다. 네트워크 트래픽을 암호화하고 연결 메타데이터를 마스킹함으로써, 특히 신뢰할 수 없는 네트워크에서 자격 증명이나 세션 토큰이 전송 중에 가로채일 위험을 줄여줍니다. 호텔, 공항, 공유 업무 공간에서 기업 리소스에 접근하는 원격 근무자에게 VPN은 기본적이지만 열려 있는 창을 닫아주는 의미 있는 통제 장치입니다.
VPN 외에도 계층화된 신원 보호 전략에는 모든 계정에 대한 다중 인증, 인간 및 비인간 신원 모두를 위한 최소 권한 원칙, 활성 자격 증명 및 API 키에 대한 정기적 감사, 비정상적인 로그인 패턴에 대한 모니터링이 포함됩니다. Sophos 데이터는 이것들이 대기업을 위한 선택적 추가 사항이 아니며, 모든 규모의 조직이 표적이 되고 있음을 강조합니다.
이것이 여러분에게 의미하는 바
회사의 IT를 관리하든 단순히 자신의 계정을 보호하려는 개인이든, Sophos 보고서는 직접적인 메시지를 전달합니다. 이제 신원이 경계이며, 그에 따라 방어해야 합니다.
다음은 구체적인 실행 단계입니다:
- 자격 증명을 감사하세요. 재사용되거나 취약한 비밀번호를 사용하는 계정을 식별하고, 비밀번호 관리자에 저장된 고유하고 복잡한 대안으로 업데이트하세요.
- 모든 곳에서 다중 인증을 활성화하세요. 이메일, 금융, 업무용 계정을 우선적으로 처리하세요.
- 앱 권한과 API 접근을 검토하세요. 소프트웨어 프로젝트나 비즈니스 도구를 관리하는 경우, 활성 자격 증명을 보유한 서비스를 감사하고 더 이상 사용하지 않는 것은 폐기하세요.
- 신뢰할 수 없는 네트워크에서는 VPN을 사용하세요. 연결을 암호화하면 안전하지 않은 환경에 있을 때 자격 증명이 가로채이는 것을 방지할 수 있습니다.
- 침해 소식을 지속적으로 확인하세요. 사용자의 이메일이 알려진 침해 데이터셋에 나타나는 경우 알려주는 서비스는 공격자가 악용하기 전에 영향을 받은 자격 증명을 교체할 수 있는 조기 경고를 제공합니다.
Sophos의 71%라는 수치는 공황의 이유가 아니라 행동의 이유입니다. 2025년의 신원 관련 보안 침해는 가상의 위험이 아니며, 지금 대다수의 조직에서 발생하고 있습니다. 강력한 신원 관행과 네트워크 수준의 보호 장치를 결합한 계층화된 방어를 구축하는 것이 데이터가 요구하는 실질적인 대응입니다.
