클라우드 IAM — 계정의 80~98%가 취약, 침해는 취약점이 아니라 권한에서 시작된다
2026년 클라우드 보안 데이터가 가리키는 결론은 일관됩니다. 대부분의 클라우드 사고는 소프트웨어 취약점이 아니라 잘못 관리된 신원과 접근 관계에서 시작됩니다. 그리고 사람 계정보다 머신 계정이 훨씬 많습니다.
얼마나 흔한가
취약한 IAM 통제와 로깅 · 알림 누락이 3대 클라우드 제공자 전반에서 가장 광범위한 보안 문제였으며, 계정의 80~98%에 영향을 미쳤다.
- 클라우드 침해의 31% 이상이 설정 오류와 수작업 실수에서 발생
- 기업의 27%가 퍼블릭 클라우드 환경에서 시작된 보안 사고를 보고
- 클라우드 보안 실패의 95%가 사람의 실수에서 비롯 (Fortinet 2026)
- Check Point 조사 — 기업의 82%가 클라우드 설정 오류로 인한 보안 사고 경험
- 평균 침해 비용 — 전 세계 444만 달러, 미국 기업 1,022만 달러
- 분석된 침해의 39%에서 자격증명 오남용이 등장
핵심 전환 — 취약점이 아니라 권한 그래프
Qualys Cloud Security Forecast 2026의 결론이 이 글의 요점이다. 대부분의 클라우드 사고는 소프트웨어 취약점이 아니라 잘못 관리된 신원과 접근 관계에서 시작된다.
사용자 · 워크로드 · 서비스 계정 · 페더레이션 신원에 걸친 권한이 결합해 권한 그래프(permission graph)를 형성하고, 이 그래프는 어떤 취약점도 악용하지 않고 권한 상승이나 데이터 접근을 가능하게 한다.
Google의 Cloud Threat Horizons H1 2026도 같은 지점을 짚는다. 탈취된 자격증명, 과도한 권한의 서비스 계정, 취약한 신원 거버넌스가 공통 진입점이며, 이후 공격자는 합법적인 클라우드 도구와 API를 사용해 리소스 사이를 이동한다. EDR과 방화벽이 보기 어려운 이유다.
실제 공격 체인 — UNC4899
Google이 문서화한 사례는 이 구조를 그대로 보여준다:
- 피해자의 CI/CD 플랫폼과 연결된 Kubernetes 리소스를 수정
- 서비스 계정 토큰을 로그로 출력하는 명령을 주입
- 고권한 CI/CD 서비스 계정 토큰을 획득해 권한 상승
익스플로잇이 없다. 전부 정상 기능의 조합이다.
머신 계정이 사람보다 훨씬 많다
서비스 계정, API 키, OAuth 토큰, CI/CD 자격증명, 워크로드 신원 — 이런 비인간 신원(NHI)이 사람 사용자를 압도적으로 앞선다.
· Entro Security — 클라우드 네이티브 · DevOps 환경에서 최대 144 : 1
여기에 에이전틱 AI가 변수로 들어온다. AI 시스템은 신원 · 권한 · 신뢰 관계를 지속적으로 열거할 수 있어 권한 상승 경로 탐색을 가속한다. 수작업으로 몇 주 걸리던 그래프 분석이 자동화된다.
가장 흔한 실패 유형
- 퍼블릭 액세스가 켜진 스토리지 버킷
- 과도하게 허용적인 IAM 역할 — 특히 와일드카드 권한
- 인바운드 트래픽을 무제한 허용하는 보안 그룹
- 암호화되지 않은 스토리지 볼륨
- 비활성화된 로깅
- 특권 계정에 MFA 미적용
- 퇴사 후에도 살아 있는 계정
- 공유되거나 한 번도 교체되지 않은 서비스 계정 키
실무 체크리스트
- ☐ 최소 권한 적용 — AWS IAM Access Analyzer, GCP IAM Recommender로 미사용 권한 자동 탐지
- ☐ 와일드카드 권한 전수 조사 후 제거
- ☐ 장기 유효 액세스 키 → 단기 자격증명(STS AssumeRole 등)으로 전환
- ☐ 특권 계정 피싱 저항 MFA 적용
- ☐ NHI 인벤토리 확보 — 서비스 계정 · API 키 · 토큰 목록화 (사람보다 82배 많다)
- ☐ CI/CD 서비스 계정 권한 최소화 (UNC4899 경로)
- ☐ Just-in-Time 권한 도입 — 상시 권한 축소
- ☐ 퇴사자 · 미사용 계정 자동 비활성화 (90일 기준)
- ☐ 로깅 · 알림 활성화 확인 (80~98%가 누락된 영역)