[개인정보위] 쇼핑몰 개발·클라우드 협업도구(GitHub 등) 자격증명 관리 강화 권고

한 줄 결론

자사몰 구축 및 운영을 위해 클라우드(AWS 등) 인프라와 깃허브(GitHub) 같은 소프트웨어 개발 협업도구를 사용하는 이커머스 판매자는 소스코드 내 API 키, 데이터베이스 비밀번호 등 자격증명이 노출되지 않도록 즉시 보안 설정을 점검하고 주요 시스템에 다중인증(MFA)을 의무적으로 적용해야 합니다.

적용 대상 빠른 판별

공식 자료로 확인된 변경 내용

개인정보보호위원회는 2026년 6월 15일, 클라우드 기반 서비스와 소프트웨어 개발 협업 환경이 확대됨에 따라 접근키(Access Key), 인증토큰, API 키 등 자격증명 정보의 중요성이 커지고 있다며, 사업자들의 각별한 주의와 자격증명 관리 강화를 당부하는 공식 권고안을 발표했습니다. 최근 국내외에서 개발 협업도구와 클라우드 환경에 저장된 자격증명이 외부에 노출되거나 탈취되어 대규모 개인정보가 유출되는 사고가 잇따라 발생하고 있기 때문입니다.

최근 발생한 주요 개인정보 유출 사고 사례

개인정보위가 공개한 구체적인 국내 피해 사례는 다음과 같으며, 이는 이커머스 운영 환경에서도 동일하게 발생할 수 있는 치명적인 보안 위협입니다.

• A사 사례: 신원미상의 공격자가 스피어피싱 메일을 통해 내부 직원의 깃허브 계정 접근권한을 확보한 후, 소스코드에 포함된 AWS 접근키를 획득하여 내부 데이터베이스에 저장된 개인정보 약 240만 건을 무단 열람했습니다. (AWS 접근키는 클라우드 자원에 접근할 수 있는 인증정보로, 부여된 권한 범위 내에서 서비스 운영 및 관리가 가능합니다.)
• B사 사례: 신원미상의 자가 깃허브에 평문으로 저장된 데이터베이스 접속정보를 확보하여 개인정보 약 42만 건을 유출했습니다.
• C사 사례: 신원미상의 자가 깃허브에 노출된 AWS 접근키를 확보하여 무려 약 1천만 건의 대규모 개인정보를 유출하는 사고가 발생했습니다.
• D사 사례: 신원미상의 자가 깃허브에 저장된 소스코드에 하드코딩 된 시스템 접근 자격증명(시크릿 키)이 노출되어 개인정보 유출 피해를 입었습니다.

개인정보보호위원회 5대 보호조치 권고안

이러한 대규모 유출 사고를 예방하기 위해 개인정보위는 클라우드 환경 또는 개발 협업도구를 사용하는 모든 사업자에게 다음과 같은 5가지 핵심 보호조치를 강력히 권고하였습니다.

• 자격증명 저장 및 노출 금지: 소스코드 내에 접근키, 비밀번호, API 키 등 자격증명이 하드코딩되어 저장되거나 노출되지 않도록 철저히 설정하고 관리해야 합니다.
• 임시 자격증명 사용: 장기간 유효한 자격증명 대신, 일정 시간 이후 자동으로 만료되는 임시 자격증명을 사용해야 합니다. 예를 들어, AWS IAM Role 기반 접근통제 체계를 활용하면 일정 시간 동안만 유효한 임시 자격증명을 발급하여 안전하게 운영할 수 있습니다.
• 접근 네트워크 제한: 자격증명이 사용 가능한 IP 주소나 네트워크 구간 등을 엄격하게 제한하여, 외부에서의 무단 사용 및 접근을 원천적으로 방지해야 합니다.
• 다중인증(MFA) 및 최소권한 원칙 적용: 데이터베이스, 클라우드 관리 콘솔 등 중요 시스템에 대해서는 반드시 다중인증(Multi Factor Authentication)을 적용하고, 업무상 필요한 최소한의 권한만 부여하는 최소권한 원칙을 준수해야 합니다.
• 정기 점검 및 즉시 회수: 자격증명 사용 내역을 정기적으로 점검하고, 퇴사자 발생이나 프로젝트 종료 등으로 인해 불필요해지거나 장기간 사용되지 않은 접근권한은 즉시 회수해야 합니다.

협업도구 자격증명 저장 방지를 위한 구체적 조치 예시

개발 과정에서 관리 편의를 위해 소스코드에 자격증명 정보를 저장하는 관행을 근절하기 위해, 사업자는 다음과 같은 기술적, 관리적 조치를 취해야 합니다.

• 제외 설정 적용: 협업도구에서 자격증명 파일 또는 인증서 파일 등이 관리되지 않도록 제외 설정을 해야 합니다. 깃허브의 경우 .gitignore 파일에 인증서, 환경설정 파일(.env) 등을 등록하여 코드 저장소 업로드 대상에서 원천적으로 제외할 수 있습니다.
• 기밀정보 자동 탐지 도구 활용: 코드 저장소에 업로드하기 전 자격증명 노출 여부를 점검하기 위해 기밀정보 자동 탐지 도구를 활용해야 합니다. 깃허브에서 제공하는 ‘Secret Scanning’, ‘Push Protection’ 등의 기능을 적극적으로 활성화하는 것이 좋습니다.
• 정기 교육 및 코드 리뷰: 소프트웨어 엔지니어를 대상으로 정기적인 보안 교육을 실시하고, 개발한 코드가 실제 서비스에 적용되기 전 동료 엔지니어 상호간 검토하는 코드 리뷰 과정에서 하드코딩된 비밀번호나 접근키 등 자격증명 포함 여부를 반드시 확인해야 합니다.
• 노출 시 즉각적인 폐기 및 교체: 자격증명 노출이 확인된 경우, 해당 자격증명을 즉시 폐기하고 신규 자격증명으로 교체하는 등 신속한 대응을 실시해야 합니다.

실무자가 오해하기 쉬운 부분

가장 치명적이고 흔한 오해는 “깃허브에 실수로 올린 API 키나 비밀번호를 작업 공간에서 바로 삭제했으니 안전하다”고 믿는 것입니다. 개인정보위는 공식 발표를 통해, 실수로 자격증명을 코드 저장소에 업로드한 경우 작업 공간에서 삭제하더라도 형상관리 이력(History)에 해당 정보가 고스란히 남을 수 있다고 명확히 경고했습니다. 공격자들은 이러한 과거 커밋(Commit) 이력을 뒤져 자격증명을 탈취합니다. 따라서 단순히 코드를 지우는 것에 그쳐서는 안 되며, 즉시 해당 자격증명(AWS 키, DB 비밀번호 등) 자체를 폐기하고 새로운 자격증명으로 교체 발급받는 등 신속한 조치를 취하는 것이 바람직합니다.

또한, “우리는 쇼핑몰 개발과 서버 관리를 전적으로 외부 에이전시(외주사)에 맡겼으니 우리 책임이 아니다”라고 생각하는 것도 큰 오해입니다. 개인정보보호법상 고객의 개인정보를 수집하는 쇼핑몰 운영사(개인정보처리자)는 수탁사인 개발 외주사가 개인정보를 안전하게 처리하도록 관리하고 감독할 법적 의무가 있습니다. 외주사의 깃허브 관리 소홀이나 클라우드 계정 탈취로 인해 고객 정보가 유출될 경우, 쇼핑몰 운영사 역시 무거운 과징금과 법적 책임을 피할 수 없으므로 외주사에 대한 철저한 보안 점검 요구가 필수적입니다.

지금 할 일

이커머스 운영사 및 보안 담당자는 대규모 개인정보 유출 사고를 미연에 방지하기 위해 즉시 다음의 조치를 실행해야 합니다. 특히 자체 개발팀을 운영하거나 클라우드 인프라를 직접 관리하는 경우 최우선적으로 점검을 진행하시기 바랍니다.

• 내부 개발팀 또는 외주 개발사에 즉각적인 공문을 발송하여, 현재 사용 중인 깃허브 등 소스코드 저장소 내에 하드코딩된 자격증명(API 키, DB 비밀번호, 클라우드 접근키 등)이 존재하는지 전수 조사를 지시하십시오.
• AWS, 데이터베이스 관리 콘솔 등 주요 시스템의 관리자 계정에 다중인증(MFA)이 100% 적용되어 있는지 확인하고, 미적용 계정은 즉시 활성화 조치하십시오.
• 개발 환경에서 .gitignore 파일이 올바르게 설정되어 .env 파일이나 인증서 파일이 깃허브에 업로드되지 않도록 기술적 조치를 완료하고, 깃허브의 ‘Secret Scanning’ 기능을 활성화하십시오.
• 과거에 실수로 업로드했다가 삭제한 자격증명이 있다면, 형상관리 이력에 남아있는지 확인하고 해당 자격증명을 즉시 무효화(폐기)한 후 재발급 받으십시오.
• 장기간 사용 중인 클라우드 접근키를 일괄 점검하여 불필요한 권한은 즉시 회수하고, 가능하면 AWS IAM Role 등을 활용한 임시 자격증명 체계로의 전환을 검토하십시오.
• [중요] 이러한 모든 보안 점검 지시 내역, 다중인증(MFA) 적용 완료 화면, .gitignore 설정 내역 등은 향후 만약의 사고 발생 시 선량한 관리자의 주의 의무를 다했음을 소명하는 핵심 증빙 자료가 됩니다. 반드시 화면을 캡처하고 내부 점검 결과 보고서 형태로 문서화하여 안전하게 보관하십시오.