보안 팀들이 여전히 대처하지 못하고 있는 OAuth 토큰의 위험에 대해 다룬 기사입니다.
이 글에서는 직원들이 Google 또는 Microsoft에 연결한 AI 도구, 워크플로우 자동화 및 생산성 앱이 남긴 OAuth 토큰의 위험성을 설명합니다. 이 토큰은 만료 날짜가 없고 자동 정리도 없으며, 대부분의 조직에서 관리되지 않고 있습니다. 이러한 OAuth 토큰은 침입자가 접근할 경우 비밀번호 없이도 악용될 수 있으며, 기존의 방화벽이나 다중 인증(MFA) 시스템으로는 탐지할 수 없습니다.
The article discusses the risks of OAuth tokens that security teams have yet to address.
This article highlights the dangers of persistent OAuth tokens left behind by AI tools and productivity apps connected to Google or Microsoft. These tokens lack expiration dates and automatic cleanup processes, and are often neglected by organizations. When attackers gain access to one, they bypass the need for a password entirely, rendering traditional boundary controls and multi-factor authentication ineffective.