재택 MD 계정으로 쏟아진 단가표 다운로드, 유출 길목 차단한 메일 감사 로그

화요일 오전 7시 40분, 중형 유통업체 보안팀의 모니터에 원격 접속 경보가 떴다. 재택근무 중인 상품기획(MD) 담당자의 계정으로 사내 웹메일에 접속한 위치가 평소 생활권이 아닌 해외 IP로 확인되면서다. 접속 직후 해당 계정은 협력업체 정산 내역과 납품 단가표가 첨부된 최근 3개월 치 메일을 연달아 내려받기 시작했다. 보안팀은 즉시 계정을 잠그고 해당 시간대의 메일 감사 로그 추적에 들어갔다.

원격근무 환경이 일상화된 유통업계에서 메일 계정 탈취와 내부 자료 유출 시도는 상시적인 위협이다. 특히 매장 관리, 온라인 몰 운영, 외주 협력사 소통이 외부 망에서 동시에 이뤄지는 구조 탓에 단일 계정의 비정상적 움직임을 조기에 포착하지 못하면 피해 범위가 넓어진다.

발신 이력 넘어 행위 추적하는 감사 로그

단순히 메일의 수발신 여부만 기록하던 기존 방식으로는 원격 환경의 침해 사고를 방어하기 어렵다. 계정이 정상 로그인된 상태에서 메일을 열람했는지, 본문 내 첨부파일을 내려받았는지, 외부로 자동 전달 규칙을 설정했는지 여부가 시간대별로 묶여야 침해 범위를 특정할 수 있다.

유통업체들이 메일 시스템을 점검할 때 기술 감사 로그(Tech-audit-log)의 세부 필드를 들여다보는 이유가 여기에 있다. 접속 IP와 브라우저 환경은 물론이고, 메일 검색어 입력 기록이나 특정 폴더 일괄 백업 시도 같은 상세 행위가 초 단위로 분리되어 기록에 남아야 한다.

가령 이번 사례에서도 외부 공격자는 메일함에 들어오자마자 전달 규칙을 생성해 특정 키워드가 포함된 메일을 외부 계정으로 자동 발송하려 했다. 그러나 시스템이 감사 로그를 기반으로 비인가 전달 설정 시도를 감지해 기능을 차단하고 기록을 남기면서 추가 유출을 막을 수 있었다는 게 현장의 설명이다.

접속 단말과 접근 범위 교차 검증

원격지에서 사내 메일함에 접근할 때는 단말 정보와 활동 로그의 교차 검증이 요구된다. 정상적인 직원의 재택근무 단말인지, 이전에 접속한 적 없는 미등록 기기인지에 따라 메일 조회와 첨부파일 다운로드 권한을 다르게 부여하는 방식이다.

수도권 일대에서 유통 체인을 운영하는 한 중형 유통사 보안담당자는 "외근과 재택이 잦은 영업·MD 직군은 공용 와이파이나 외부 기기로 메일을 확인할 때가 많다"며 "로그인 성공 여부만 볼 것이 아니라, 로그인 이후 단시간에 대량 다운로드가 일어나는지 같은 이상 징후를 감사 로그 엔진이 실시간으로 분류해 주는 체계가 필요하다"고 말했다.

개별 계정 단위의 로그뿐 아니라 관리자 권한으로 수행된 메일함 접근 및 권한 변경 이력도 별도 분리해 보관해야 한다. 관리자 계정이 침해될 경우 감사 로그 자체를 삭제하거나 변조하려는 시도가 뒤따르기 때문이다.

보존 주기 설정과 운영상 남은 과제

상세한 행위 로그를 누적하는 과정에서 발생하는 데이터 용량과 프라이버시 문제는 풀어야 할 숙제다. 임직원의 일상적인 메일 조회 행위까지 기록으로 남는 만큼, 열람 권한자를 제한하고 로그 접근 시에도 사유를 입력하도록 하는 내부 통제선이 함께 마련되어야 한다.

로그 보존 연한을 전자상거래 및 개인정보보호 법령 기준에 맞춰 최소 1년 이상 유지하면서도 검색 성능을 떨어뜨리지 않는 인프라 최적화 역시 실무진이 사전에 확인해야 할 대목이다.

※ 본 기사의 사례는 도입 현장에서 반복적으로 확인되는 상황을 바탕으로 재구성한 것이다.