비밀번호는 멀쩡했는데 데이터가 샜다 — Salesforce가 Klue 연동을 끊어버린 OAuth 토큰 남용 사건

이미지 출처: The Hacker News

침해 사고라고 하면 보통 누군가의 비밀번호가 털렸거나, 서버에 구멍이 났거나 하는 장면을 떠올리기 마련임. 그런데 이번 Salesforce·Klue 건은 그 그림이 통하지 않음. 로그인 자격증명이 깨진 것도 아니고, Salesforce 본체가 뚫린 것도 아니었음. 한 번 정식으로 발급해 준 OAuth 액세스 토큰이 잘못된 손에 들어가면서, 그 토큰이 고객 데이터로 들어가는 만능열쇠가 돼버린 사건임. 결국 Salesforce는 경쟁 정보 분석 도구인 Klue의 앱 연동 자체를 직접 비활성화하는 강수를 뒀음.

핵심 요약

• 비밀번호 유출이 아니라, 정식 발급된 OAuth 토큰이 남용돼 연동된 조직의 고객 데이터가 노출된 사건임.
• Salesforce는 Klue 앱 연동을 끊는 것으로 대응했고, 이는 SaaS-서드파티 연동의 구조적 약점을 그대로 보여줌.
• 방어 핵심은 토큰의 권한 범위 축소, 발급·사용 로그 감시, 그리고 의심스러운 토큰의 즉시 폐기 능력임.

왜 토큰 하나가 그렇게 위험한가

OAuth는 "비밀번호를 넘기지 말고 토큰으로 권한을 위임하자"는 좋은 취지의 구조임. Salesforce 같은 플랫폼에 Klue 같은 외부 앱을 연결하면, 사용자는 자기 비밀번호 대신 제한된 범위의 토큰을 앱에 쥐여줌. 문제는 이 토큰이 일단 발급되면 비밀번호와 거의 같은 힘을 가진다는 점임. MFA를 다시 묻지도 않고, 그 토큰만 있으면 위임받은 범위 안의 데이터를 계속 읽어갈 수 있음.

• 토큰은 사람이 아니라 앱이 들고 있음 — 그래서 앱(혹은 앱을 운영하는 서드파티) 쪽이 뚫리면 토큰도 같이 샘.
• 토큰의 권한 범위가 넓게 설정돼 있으면, 토큰 하나로 들여다볼 수 있는 데이터가 그만큼 넓어짐.
• 발급 시점에 한 번 인증했기 때문에, 이후 사용 단계에서는 "정상 앱이 정상 토큰으로 호출한다"처럼 보여서 평범한 트래픽과 구분이 잘 안 됨.

이번 건의 본질도 여기에 있음. 누가 문을 부순 게 아니라, 합법적으로 받아 둔 열쇠가 복제·남용되면서 연동된 여러 조직의 고객 데이터가 노출 위험에 놓인 것임. 그래서 Salesforce가 택한 가장 빠른 봉쇄책이 "그 열쇠 자체를 무효로 만드는 것", 즉 앱 연동 비활성화였음.

방어자는 이걸 어떻게 탐지하고 막는가

이런 토큰 남용은 익스플로잇 코드로 막는 종류가 아님. 탐지와 권한 설계 싸움임. 개인적으로는 SaaS를 쓰는 조직이라면 아래 순서로 점검해 보길 추천함.

• 연결된 앱 목록부터 본다: Salesforce의 'Connected Apps', 구글·MS의 서드파티 앱 권한 화면처럼, 내 테넌트에 어떤 외부 앱이 어떤 범위로 연결돼 있는지 정기적으로 들여다봐야 함. 한 번 연결하고 잊은 앱이 가장 위험함.
• 토큰 사용 로그를 행위로 본다: 평소와 다른 IP·국가에서의 API 호출, 짧은 시간에 비정상적으로 많은 레코드를 끌어가는 대량 조회(bulk export)는 토큰 남용의 전형적 신호임. 단순 로그인 성공/실패가 아니라 '토큰이 무엇을 읽어갔는가'를 봐야 보임.
• 권한 범위(scope)를 최소로 깎는다: 분석 도구가 굳이 전체 고객 레코드 읽기 권한이 필요 없다면 거기까지 주면 안 됨. 위임 범위를 좁히는 것만으로 사고 시 노출 면적이 줄어듦.
• 폐기 버튼을 미리 만들어 둔다: 의심스러운 토큰을 즉시 무효화(revoke)하고 앱 연동을 끊을 수 있는 절차와 권한을 사전에 정해 둬야 함. 이번에 Salesforce가 빠르게 연동을 끊을 수 있었던 것처럼, 결국 '끊는 속도'가 피해 규모를 가름.
• 토큰 수명과 재발급 정책을 둔다: 만료 없는 장기 토큰은 한 번 새면 영원히 위험함. 짧은 수명 + 주기적 재인증으로, 탈취된 토큰의 유효 시간을 줄여야 함.

이 사건이 남기는 진짜 교훈

우리는 내 시스템의 담장을 높이는 데는 익숙한데, 내가 신뢰해서 열쇠를 쥐여 준 외부 앱이 약점이 되는 그림에는 둔감한 편임. SaaS 시대의 공격면은 내 서버 안쪽만이 아니라, 내가 연결해 둔 모든 서드파티 연동의 합집합이라는 걸 이번 건이 다시 일깨워 줌. Klue 하나의 문제로 끝나는 이야기가 아니라, 지금 내 조직 계정에 조용히 연결돼 있는 수많은 앱들에게 그대로 던져지는 질문임.

그래서 오늘은 거창한 도구 도입보다, 내가 쓰는 SaaS의 '연결된 앱' 화면을 한 번 열어서 낯선 연동이 없는지 같이 점검해 보면 좋겠음. 안 쓰는 연동은 과감히 끊고, 남길 건 권한을 다시 좁히는 것 — 이 작은 청소가 다음 사고의 크기를 절반으로 줄여 줄 거라고 봄. 점검하다 헷갈리는 지점이 있으면 댓글로 같이 풀어 보아요.