그룹웨어 침해 뒤, 외부 연동 권한 점검법

더존 사고가 보여준 건 '끊었다고 끝이 아니다'라는 점

더존비즈온 해킹의 여파가 고객사로 번지고 있다. 성현회계법인은 10월 28일 더존으로부터 유출 가능성을 통보받아 30일 안내문을 냈는데, 노출 가능 정보에는 성명·이메일·주민등록번호는 물론 급여와 연말정산 자료까지 포함됐다. 직접 계약하지도 않은 고객사 직원들의 정보까지 들어 있었다.

더 눈여겨볼 대목은 피해가 '해지된 고객사의 백업 서버'에서 확인됐다는 점이다. 성현회계법인은 계약을 끝낸 지 약 10개월, 케이옥션은 서비스를 종료한 지 약 6개월이 지난 뒤에야 통보를 받았다. 연결을 끊었다고 믿고 잊었던 접점이 그대로 위험으로 남아 있었던 셈이다. 아직 실제 유출이 확정된 것은 아니고 개인정보보호위원회가 조사 중이지만, 소규모 팀 관리자에게 주는 교훈은 분명하다. 지금 우리 그룹웨어와 SaaS, AI 도구에 '아직 살아 있는' 외부 접근이 무엇인지부터 확인해야 한다.

1단계: 연결된 외부 앱을 전수 목록화

Rahul Shah

점검의 출발점은 기억이 아니라 목록이다. 구글 워크스페이스를 쓴다면 관리 콘솔 보안센터의 OAuth 권한 활동 보고서에서 앱별·범위별 권한 부여 현황을 뽑을 수 있고, 마이크로소프트 365는 Entra ID의 엔터프라이즈 애플리케이션 메뉴에서 목록을 확인한다. 개인 계정 수준에서는 구글 계정의 '연결된 앱' 페이지가 같은 역할을 한다.

목록을 뽑았다면 앱마다 세 가지를 적어둔다. 누가 언제 승인했는지, 어떤 권한(메일 읽기, 드라이브 전체 접근 등)을 가졌는지, 마지막으로 사용된 게 언제인지다. 이 세 열만 채워도 손봐야 할 연동이 눈에 들어온다.

2단계: AI 도구와 에이전트 권한은 따로 본다

AI 도구는 일반 외부 앱과 같은 기준으로 넘기면 안 된다. AI 에이전트나 MCP 연결은 보통의 OAuth 앱보다 넓은 권한을 쥐는 경우가 많기 때문이다.

여기서는 두 가지를 구분해서 확인한다. 하나는 그 도구가 '읽을 수 있는' 데이터의 범위이고, 다른 하나는 사람의 승인 없이 '자동으로 실행하는' 액션이 있는지다. 메일을 대신 보내거나 파일을 옮기는 자동 동작이 걸려 있다면, 그 권한이 지금 업무에 꼭 필요한지 다시 따져봐야 한다. 구글 계정에서는 제미나이 같은 에이전트 권한을 별도로 검토하고 중지할 수 있다.

3단계: 쓰지 않는 연동은 끊는다

목록이 정리되면 가지치기를 한다. 통상적인 기준은 이렇다. 90일 넘게 쓰지 않은 앱은 바로 연결을 해제하고, 6개월 이상 방치된 토큰은 회수한다. 권한이 지나치게 넓은 앱은 꼭 필요한 범위로 줄인다.

해제 위치는 서비스마다 다르다. 구글은 연결된 앱에서 액세스 권한을 삭제하고, 슬랙은 Connected Apps, 깃허브는 OAuth Apps 메뉴에서 끊는다. 종료한 서비스처럼 관리 화면에서 지우는 것만으로 불안하다면 토큰 취소 API로 강제 무효화하는 방법도 있다. 더존 사례가 말해주듯, 계약을 끝낸 서비스일수록 남은 토큰과 데이터 파기 여부를 끝까지 확인하는 편이 안전하다.

4단계: 인증 정비, MFA만으로는 부족하다

마지막은 비밀번호와 인증이다. 다단계 인증(MFA)은 당연히 켜둬야 하지만, 그것만 믿어서는 안 된다. OAuth 토큰은 비밀번호를 대신해 발급되기 때문에 MFA를 거치지 않고도 장기간 접근이 유지될 수 있다. MFA가 OAuth 남용까지 막아주지는 못한다는 뜻이다.

그래서 퇴사자가 생기거나 권한이 바뀔 때는 비밀번호 재설정과 함께 발급된 토큰 회수까지 세트로 처리해야 한다. 관리자 계정처럼 중요한 접점은 비밀번호를 주기적으로 바꾸는 편이 좋다.

바로 쓰는 점검 체크리스트

• 그룹웨어·SaaS별 연결된 외부 앱 목록 추출
• 앱마다 권한 범위와 최종 사용일 기록
• AI 에이전트·MCP의 자동 실행 액션 확인
• 90일 이상 미사용 연동 해제
• 과도한 권한은 최소 범위로 축소
• 해지한 서비스의 토큰 회수·데이터 파기 요청
• 관리자·핵심 계정 MFA 적용과 비밀번호 재설정
• 새 연동을 자동 탐지할 SSPM 도입 검토

한 번으로 끝나는 작업이 아니다. 새 도구는 계속 붙고 토큰은 조용히 쌓인다. 분기마다 이 목록을 다시 뽑아 보는 습관이 사실상 가장 싼 보안 투자다.

출처

1. [더존 해킹, 그 후] 고객사의 고객사 정보까지…드러난 개인정보 관리 사각지대
2. 10분 안에 끝내는 SaaS OAuth 보안 자가 진단
3. Google 계정과 다른 개발자의 앱 간 연결 관리하기
4. SaaS 보안 체크리스트: 스타트업이 반드시 지켜야 할 필수 보안 설정 가이드