출퇴근 앱 뚫고 들어온 악성코드, 근태 기록과 보안 로그 교차해 잡았다

재택근무자 120명의 근태 접속 로그를 전수 조사한 결과, 14명의 출퇴근 타각 IP 대역이 해외 가상사설망(VPN) 서버와 가짜 GPS 생성 앱의 기본 포트로 수렴하고 있었다. 내부 보안 감사팀이 단말기 식별 번호와 통신 기지국 기록을 대조하면서 드러난 정황이다.

출퇴근 인증 체계를 외부 모바일 앱에만 의존하던 이 회사는 몇 달간 사내 전산망 침해 흔적을 찾지 못했다. 타각 정보가 정상 범위로 기록됐기 때문이다. 하지만 로그인 직후 사내 메신저와 개발망 접근 기록을 교차 검증하자, 실제 업무 수행 장소와 타각 위치가 전혀 다른 계정이 연이어 확인됐다.

조작 앱과 프록시 서버로 뚫린 모바일 타각

보안 사고는 단순한 근태 누락에서 끝나지 않았다. 비인가 원격 제어 도구를 통해 직원의 계정으로 사내 소스코드가 외부 클라우드로 유출된 정황이 추가로 포착됐다. 재택 타각을 조작하려고 설치한 서드파티 위치 변경 앱이 악성코드의 통로 역할을 한 탓이다.

인사팀과 보안팀이 공동 점검한 위반 유형은 크게 세 가지로 갈렸다.

위반 유형	조작 방식	보안 위험 요소
GPS 좌표 변조	단말기 루팅 및 개발자 모드 가상 위치 주입	앱 위변조 통한 사내 인증 토큰 탈취
IP 우회 타각	상용 VPN 프록시 서버 경유 접속	인가되지 않은 해외 IP의 내부망 침투
계정 대리 인증	동일 기기 내 다중 계정 로그인 및 타각 대행	권한 분립 붕괴 및 퇴사자 계정 무단 사용

조사 과정에서 단말기 고유값(UUID) 하나로 서로 다른 3명의 출퇴근이 2분 간격으로 승인된 기록도 나왔다. 동료 간 메신저로 일회용 인증번호를 주고받으며 대리 출근 처리를 해온 관행이 보안 장벽을 무너뜨린 셈이다.

인증 단말기 바인딩과 기지국 교차 검증

회사는 사건 직후 근태 타각 정책을 전면 재설계했다. 모바일 단말기 단독 타각 방식을 버리고, 1인 1기기 등록제(디바이스 바인딩)를 적용했다. 등록되지 않은 단말기나 루팅 등 운영체제 변조 흔적이 감지된 스마트폰에서는 출퇴근 버튼 자체가 활성화되지 않도록 통제선을 높였다.

네트워크 구간 통제도 손봤다. 사내 전용망(SSO)과 연동되지 않은 비인가 VPN 대역을 일괄 차단하고, 와이파이(Wi-Fi) BSSID와 모바일 기지국 셀 ID를 동시에 검증하는 복합 인증 방식을 들였다. GPS 신호 수신이 불가능한 실내 환경에서도 조작된 좌표값을 걸러내기 위한 조치다.

이 중견 IT 서비스사의 정보보호책임자는 "근태 관리를 단순 인사 행정으로만 보고 단말 보안과 분리해 운영했던 것이 침해 사고의 출발점이었다"며 "타각 시점의 단말 무결성 검증을 정보보안 통제 항목과 동일한 수준으로 끌어올렸다"고 말했다.

인사 데이터와 보안 관제 로그의 연동 과제

근태 기록의 신뢰성을 확보하려면 시스템 간 로그 결합이 뒤따라야 한다. 출퇴근 기록이 남아 있어도 그룹웨어 메일 발송 이력이나 형상관리 시스템 접근 기록이 없는 계정은 비정상 징후로 분류하는 체계가 필요하다.

조직 개편 시마다 반복되는 타각 예외자 관리도 점검 대상이다. 특정 직무나 외근자에게 부여된 위치 검증 예외 권한이 퇴사나 부서 이동 뒤에도 유지되는 사례가 잦다. 근태 통제 정책과 보안 관제 시스템 간의 실시간 연동 체계가 구축되어 있는지 정기적으로 대조하는 절차가 필수적이다.