Truffle Security가 4년에 걸쳐 추적한 결과에 따르면, 2022년 8월부터 2026년 8월 사이 공개적으로 노출된 Amazon Web Services(AWS) 액세스 키 9,300개 이상이 여전히 활성 상태이며 인증에 사용될 수 있었다. 노출된 키 가운데 817개는 기업과 연결되어 있었고, 이 중 526개는 AWS 계정 내에서 가장 높은 수준의 권한을 제공하는 루트 키(root keys)였다.
연구진은 또 다른 242개 키가 AdministratorAccess 정책이 적용된 Identity and Access Management(IAM) 사용자와 연결되어 있었다고 밝혔다. 이 정책을 사용하면 AWS 서비스와 리소스 대부분을 생성하고 수정하며 삭제하고 조회할 수 있다. 또한 조사한 두 그룹에 속한 유효한 키 768개 모두가 «기업 소유 AWS 계정에 대한 완전한 통제권»을 제공했다고 지적했다.
노출 범위와 키의 출처
Truffle Security는 코드 저장소, Git 기록, 데이터 세트, Docker 이미지, 컨테이너 로그, 지속적 통합 및 배포(CI) 로그에서 AWS와 관련된 비밀값 431875개를 발견했다. 중복을 제거한 뒤에는 50654개의 AWS 계정에 속한 고유 키 64024개로 줄었다.
재검증을 허용하는 완전한 자격 증명 데이터를 확보할 수 있었던 그룹에는 10616개의 키가 포함되어 있었다. 이 중 88%는 8월 10일 기준으로 여전히 인증이 가능했다. 개발자들이 인공지능 모델과 데이터 세트, 애플리케이션을 공유하는 Hugging Face가 유출된 키의 단일 출처 중 가장 큰 비중을 차지했으며, 고유 노출 건수 8482건과 연결되어 있었다. 루트 키는 이 사례의 17.9%를 차지했다.
실제로 무엇이 달라지는가?
공격자는 연결된 권한 수준에 따라 유효한 키를 사용해 클라우드에 호스팅된 데이터에 접근하거나 이를 추출 또는 삭제하고, 서버와 애플리케이션을 장악하며, 접근 권한을 유지하기 위한 은닉 관리자 계정을 생성할 수 있다. 이러한 계정은 암호화폐 채굴 도구를 배포하는 데도 사용될 수 있으며, 이로 인해 기업에 높은 청구서가 발생할 수 있다. 데이터를 읽을 수 있었던 2754개 계정 가운데 예산 알림이 설정된 계정은 262개뿐이었다.
키의 생성 기간은 자격 증명 관리의 추가적인 문제를 드러낸다. 생성 날짜를 확인할 수 있었던 2903개 키의 중간 사용 기간은 1831일, 즉 약 5년이었으며, 가장 오래된 키의 사용 기간은 17.4년에 달했다. 398건, 즉 13.7%만 동일한 사용자와 연결된 더 최신 액세스 키를 보유하고 있었으며, 이는 대부분의 키가 교체되지 않았음을 시사한다.
위험 완화 조치
Truffle Security는 모든 루트 키를 삭제하고, IAM 자격 증명을 사용 기간에 따라 검토하며, 노출된 키를 교체하거나 폐기하는 동시에 예산 알림을 활성화할 것을 권고한다. 또한 공개 소스에 커밋된 모든 자격 증명은 실제 사용 흔적이 확인되지 않더라도 침해된 것으로 간주해야 한다.
회사는 조사 범위가 메타데이터 읽기로만 제한되었으며, 확인할 수 있었던 모든 자격 증명 소유자에게 알렸다고 밝혔다. 이번 결과가 중요한 이유는 키가 공개된 뒤에도 활성 상태로 남아 있으면 저장소나 빌드 로그에서 발생한 오래된 유출이 클라우드 인프라로 직접 진입하는 통로가 될 수 있기 때문이다.