모든 서비스에 하나의 비밀번호: 상식의 반대 선택을 한 로펌

미국 한 법무법인이 직원들에게 정보 시스템 전체에 사용할 단 하나의 비밀번호를 강제했습니다. 책상만큼이나 오래된 이 결정의 배경을 되짚어보고, 2026년 현재 우리가 얻을 수 있는 교훈을 살펴봅니다.

한 법률사무소가 사이버 보안 전문 언론에 공개적으로 지적받았다. 해당 사무소는 내부 시스템에 단일한 비밀번호를 모든 직원이 공유하도록 강제했기 때문이다. 2026년인 지금에도 말이다. 국가 데이터 보안법, 유럽의 GDPR, 수백 개의 ISO 27000 표준이 존재하지만 말이다.

사실 관계

무엇

사이버 보안 전문 언론을 통해 유포된 보고서에 따르면, 한 법률사무소(이름은 공개되지 않음)가 보안 정책으로 공유 및 단일 비밀번호를 직원 전체에게 적용했다고 한다.

영향 받는 대상

• 사무소의 고객: 잠재적으로 고객의 파일들이 단일 비밀번호로 접근 가능해질 수 있음
• 직원들: 개별 행위가 더 이상 추적되지 않아 포렌식 조사 자체가 불가능해짐
• 사무소 자체: 유출 시 법적 책임이 크게 커짐

해야 할 일

이 사례는 간단한 브리프 기사에서도 기본 보안 수칙을 다시 한 번 상기시킬 필요가 있음을 보여준다:

1. 각 사용자별 고유 ID + 비밀번호. 절대 타협 불가.
2. 비밀번호 관리자 사용 (Bitwarden, 1Password, 오픈소스 KeePassXC 등).
3. 민감한 접근 시 MFA 필수 (최소 TOTP, 이상적으로는 하드웨어 키).
4. 합리적인 비밀번호 변경 정책 - NIST SP 800-63B는 더 이상 주기적 변경을 권장하지 않으며, 의심 시 즉시 폐기할 것을 권장.
5. 로깅 + 감사 - 개별 계정 없이 제대로 된 감사는 불가능.

분석

이 사례가 보여주는 것은 잘못 자체보다도 비기술 분야의 사각지대가 얼마나 지속되고 있는가이다. 특히 민감한 데이터를 다루는 분야에서도 말이다. 법률사무소는 사법 사건, 이혼, 상속, 형사 사건 등 다양한 민감한 데이터를 다룬다. 유출의 비용은 단순히 금전적 손실로만 측정되지 않으며, 노출된 개인의 삶으로도 측정된다.

공유 비밀번호는 소규모 조직에서 흔히 볼 수 있는 문제다. 의료 사무소, 협회, 중소기업에서도 이미 목격된 사례다. 새로운 점은 이러한 관행이 공개적으로 드러났다는 것이다.

지금 당장 해야 할 일

당신이 DSI, RSSI, 법률사무소의 파트너, 또는 소규모 조직의 경영자라면:

• 빠른 감사: 시스템 내 개별 계정 vs 공유 계정 비율은?
• 서비스 계정: 추적 가능한가? 강력한 비밀번호가 설정되어 있는가?
• 기업 와이파이: 게스트가 프로덕션과 동일한 SSID를 공유하는가?
• 교육: 마지막으로 피싱/ MFA 인식 교육을 받은 지 언제인가?

1차 출처

궁금한 독자들은 아래 공식 가이드를 참고하길 바란다. 보안은 뉴스 기사보다 실용 가이드를 통해 이뤄진다.