CISA 데이터 유출: 운영 실패와 인적 리스크의 사례 연구

미국 사이버 보안 및 인프라 보안국(CISA)은 미국의 핵심 인프라를 보호해야 하는 막중한 책임을 맡고 있습니다. 그러나 최근 발생한 보안 침해 사고로 인해 기관 자체에 이목이 집중되었습니다. 운영 보안의 충격적인 실수로 인해, 한 CISA 계약업체가 AWS GovCloud 키와 방대한 양의 기관 기밀을 공개 GitHub 저장소에 의도적으로 게시하여 의원들과 보안 전문가들로부터 거센 비판을 불러일으켰습니다.

이 사건은 단순한 기술적 실패가 아닙니다. 이는 더 깊은 조직적 불안정성의 증상이며, 기술적 통제가 인적 과실에 직면했을 때 갖는 한계에 대한 경고입니다.

유출의 구조

2026년 5월 18일, CISA의 코드 개발 플랫폼에 대한 관리자 권한을 가진 계약업체가 ‘Private-CISA’라는 이름으로 공개 GitHub 프로필을 생성했다는 보고가 있었습니다. 이 저장소는 개인적인 ‘연습장’ 또는 동기화 도구로 사용되었으며, 수십 개의 내부 CISA 시스템에 대한 평문 자격 증명을 포함하고 있었습니다.

이 침해 사고가 특히 심각한 이유는 그 이면에 담긴 의도성 때문입니다. 커밋 로그의 증거에 따르면, 해당 계약업체는 민감한 자격 증명이 실수로 게시되는 것을 방지하기 위해 설계된 도구인 GitHub의 내장 비밀번호 스캐닝 보호 기능을 수동으로 비활성화했습니다.

노출 범위

유출된 데이터는 몇 개의 API 키에 국한되지 않았습니다. ‘Private-CISA’ 아카이브에는 다음이 포함되었습니다:

AWS GovCloud Keys: 정부 클라우드 리소스에 대한 액세스를 제공하는 평문 자격 증명.
Administrative Access: CISA 엔터프라이즈 계정이 소유한 GitHub 앱에 대한 전체 액세스 권한을 부여하는 RSA private key. 이 키를 통해 공격자는 private 저장소를 포함하여 CISA-IT 조직의 모든 저장소에서 소스 코드를 읽을 수 있으며, 잠재적으로 CI/CD 파이프라인을 하이재킹할 수 있습니다.
System Roadmaps: AWS-Workspace-Bookmarks-April-6-2026.html 및 kube-config.txt와 같은 파일들은 연방 네트워크에서 지속성을 확보하려는 공격자에게 로드맵을 제공합니다.

대응 및 '봉쇄'의 어려움

보안 기업 GitGuardian의 통보를 받았음에도 불구하고, CISA는 침해 사고를 봉쇄하는 데 어려움을 겪었습니다. 보고에 따르면 초기 통보 후 일주일 이상이 지난 후에도 여러 핵심 키가 활성 상태로 남아 있었습니다. TruffleHog의 제작자인 Dylan Ayrey는 CISA-IT 조직에 대한 액세스 권한을 부여하는 RSA private key가 KrebsOnSecurity의 추가 보고 이후에야 무효화되었다고 언급했습니다.

CISA의 공식 입장은 ‘이 사건의 결과로 민감한 데이터가 침해되었다는 징후는 없다’는 것이었습니다. 그러나 보안 전문가들은 이것이 순진한 평가라고 주장합니다. 사이버 범죄 집단과 외국 적대 세력(중국, 러시아, 이란 등)이 유출된 키를 찾기 위해 GitHub ‘firehose’를 적극적으로 모니터링하고 있다는 점을 고려할 때, 이 데이터가 발견되지 않았을 가능성은 희박합니다.

조직적 쇠퇴가 보안 리스크로 작용

Maggie Hassan 상원의원과 Bennie Thompson 하원의원을 포함한한 의원들은 CISA 내의 더 넓은 불안정성 맥락을 지적했습니다. 보고에 따르면, 해당 기관은 일련의 강제 퇴직 및 사직으로 인해 인력의 3분의 1 이상을 잃었고, 고위 지도부 또한 거의 전원을 잃었습니다.

이러한 제도적 지식과 리더십의의 상실은 Rep. Thompson이 ‘약화된 보안 문화’라고 설명하는 상황으로 이어졌습니다. 기관이 ‘한계에 도달한(running on fumes)’ 상태일 때, 제3자 계약업체를 관리하기 위한 엄격한 감독이 무너지는 경우가 많으며, 이는 계약업체가 공개 저장소를 개인 동기화 도구로 사용하는 것을 편안하게 느끼는 바로 그 환경을 조성합니다.

기술적 통제 vs 인적 문제

이 사건은 이러한 유출이 기술적으로 예방할 수 있는지에 대한 논쟁을를 불러일으켰습니다. 기업 정책이 직원들이 공식 저장소에서 비밀번호 스캐닝을 비활성화하는 것을 막을 수 있을 수는 있지만, 사용자가 데이터를 업무용 컴퓨터에서 가정용 컴퓨터로 옮기기 위해 제3자 플랫폼에서 개인 계정을 생성하는 것을 막을 수는 없습니다.

Risky Business 팟캐스트의 Adam Boileau가 언급한 바와 같이:

‘결국, 이것은 기술적 통제로 해결할 수 없는 문제입니다... 이것은 업무를 위해 고용한 계약업체가 자신의 의지로 GitHub를 사용하여 콘텐츠를 내용을 동기화하기로 결정한 인적 문제입니다.’

하지만 비판론자들은 이 실패가 여전히 기술적 성격임을 주장합니다. 만약 계약업체가 몇 달 동안 교체 없이 유효한 자격 증명을 보유하고 있다면, 이는 최소 권한 원칙의 구현 실패와 자동화된 자격 증명 교체 정책의 부재를 나타냅니다.

결론

CISA 유출 사고는 보안이 가장 약한 연결 고리만큼만 강력하다는 사실을, 즉 그 연결 고리가 종종 사람이라는 사실을 극명하게 상기시켜 줍니다. 조직적 불안정성이 보안 문화를 침해하고 감독을 약제화할 때, ‘Git 101’의 가장 기본적인 규칙들이 무시되며, 국가를 보호해야 할 바로 그 기관이 취약점이 됩니다.