유출된 하나의 사내 계정, 어디까지 기업 침해로 이어질 수 있을까

다크웹이나 인포스틸러 로그에서 자사 임직원의 계정 정보가 발견되면 사내 보안팀은 우선 비밀번호를 변경하고 해당 계정을 점검합니다. 물론 필요한 조치입니다. 다만 여기서 대응이 끝난다면, 유출된 정보가 품고 있는 위험의 일부만 본 셈일 수 있습니다.

문제는 계정 정보가 외부에 나왔다는 사실만으로는 위험의 크기를 가늠하기 어렵다는 데 있습니다. 어떤 경로로 정보가 새어 나왔는지, 업무 환경과 어떤 접점이 있는지, 공격자가 이 정보를 손에 넣었다면 어디까지 접근할 수 있는지에 따라 같은 계정 유출도 의미가 달라집니다.

그래서 Credential Leak를 볼 때는 유출된 계정 그 자체보다 그 앞과 뒤의 맥락을 함께 살펴볼 필요가 있습니다.

유출된 계정보다 먼저 봐야 할 것은 ‘어디서 유출되었는가’

계정 정보가 외부로 유출되는 경로는 다양합니다. 특정 서비스의 데이터베이스가 침해될 수도 있지만, 사용자의 기기가 인포스틸러에 감염되면서 브라우저에 저장된 정보가 탈취되는 경우도 있습니다.

미국 법무부가 2025년 공개한 LummaC2 수사 자료에 따르면, 이러한 인포스틸러는 브라우저 데이터와 자동완성 정보, 이메일이나 금융 서비스에 접근하기 위한 로그인 정보 등을 노렸습니다. 계정 정보 하나만 따로 빠져나가는 것이 아니라, 감염된 환경에 남아 있던 여러 정보가 함께 노출될 수 있다는 의미입니다.

따라서 유출된 아이디와 비밀번호만 보고 상황을 판단하기는 어렵습니다. 어느 환경에서 정보가 탈취됐는지, 어떤 유형의 정보가 함께 노출됐는지, 업무에 사용하는 계정이나 서비스와 연결될 여지는 없는지까지 살펴봐야 위험의 윤곽이 드러납니다.

임직원의 개인 계정도 무조건 조직과 무관하다고 볼 수는 없습니다. 물론 개인 이메일이나 외부 서비스 계정이 노출됐다고 해서 곧바로 기업 침해로 이어지는 것은 아닙니다. 다만 동일한 비밀번호를 업무 계정에도 사용하고 있었다면 이야기가 달라집니다. NIST 역시 한 사이트에서 유출된 비밀번호를 다른 사이트의 계정 접근에 사용하는 password stuffing을 막기 위해 서비스마다 서로 다른 비밀번호를 사용하는 것이 중요하다고 설명합니다.

결국 개인 계정인지 업무 계정인지만으로 위험을 나누기보다, 노출된 정보가 조직의 계정과 업무 환경에 맞닿는 지점이 있는지를 보는 편이 더 현실적입니다.

유출의 맥락을 알 수 있는 정보도 그래서 중요합니다. S2W의 사이버위협 인텔리전스 플랫폼, QUAXAR의 계정 유출 탈취 모니터링에서는 스틸러 감염으로 발생한 계정 유출의 경우 피해 IP와 국가, 운영체제, 악성코드 유형, 감염 경로 등을 함께 살펴봅니다. 단순히 ‘어떤 계정이 나왔다’에서 끝내지 않고, 어떤 환경에서 노출이 발생했는지를 따라가며 위험도를 판단하기 위해서입니다.

이렇게 보면 Credential Leak는 이미 발생한 정보 노출의 결과이면서, 그 원인과 범위를 되짚어볼 수 있는 단서이기도 합니다.

계정 유출 이후에는 ‘어디까지 접근할 수 있는가’를 봐야 합니다

유출 경로를 살펴봤다면 시선은 자연스럽게 그 이후로 향합니다. 공격자가 이 정보를 실제로 손에 넣었을 때 무엇을 할 수 있는지입니다.

유효한 계정 정보는 기업 네트워크에 접근하기 위한 수단으로 악용되기도 합니다. CISA는 Play 랜섬웨어 그룹이 다크웹에서 구매한 것으로 추정되는 유효 계정을 이용해 피해 조직의 네트워크에 초기 접근한 사례를 공식 권고문에서 설명하고 있습니다.

하지만 계정이 유출됐다는 사실만으로 어느 것이 더 위험한지 단순하게 비교하기는 어렵습니다. 더 이상 사용하지 않는 일반 계정과 주요 업무 시스템에 접근할 수 있는 계정은 파급력이 다르고, 같은 업무 계정이라도 일반 사용자와 관리자 권한이 같을 수 없습니다.

그래서 계정 하나를 볼 때도 그 주변의 관계를 함께 봐야 합니다. 실제 조직 계정과 연결되는지, 계정 유출 및 탈취가 발생했을 때의 피해 규모는 탈취된 계정이 가진 접근 가능한 시스템과 데이터에 따라 달라집니다. S2W의 QUAXAR는 계정의 권한 수준과 접근 가능한 자산, 데이터의 민감도, 업무 영향을 함께 고려해 위험도를 구분하고 대응 우선순위를 정하는 접근을 제시합니다.

계정 밖의 신호까지 연결하면 판단은 한층 구체적이 됩니다. 예를 들어 유출 계정과 외부에 노출된 자산, 알려진 취약점이나 공격 인프라가 서로 맞물린다면 개별 정보만 볼 때는 놓치기 쉬운 악용 가능성을 살펴볼 수 있습니다. QUAXAR는 유출 계정, 노출 자산, 공격 인프라, 취약점, 위협 행위자 활동 사이의 관계를 분석해 개별 이벤트만으로는 보이지 않는 공격 흐름과 악용 가능 경로를 파악합니다.

Credential Leak는 지나간 유출의 기록인 동시에, 아직 현실화되지 않은 후속 침해 가능성을 가늠하게 하는 신호가 될 수 있습니다.

중요한 것은 얼마나 많은 유출 계정을 발견했느냐가 아닙니다. 그 정보가 어디에서 왔고, 조직의 무엇과 연결되며, 악용된다면 어디까지 영향을 미칠 수 있는지를 읽어내는 것. 계정 유출을 지속적으로 살펴봐야 하는 이유도 여기에 있습니다.