Google, 삭제한 API 키도 살아남는다…클라우드 통제 허점 노출

Google API 키가 삭제 후에도 활성 상태로 남는 문제가 드러나면서, 클라우드 권한 회수의 신뢰성이 다시 도마에 오르다.

Dark Reading은 Google API Keys가 삭제 이후에도 활성화 상태로 남는다고 보도했다. 이는 자격 증명을 지웠다고 해서 실제 접근 권한이 즉시 사라지지 않을 수 있음을 뜻하며, 클라우드 운영에서 권한 회수의 지연이 곧 보안 공백이 될 수 있다. Google, API Keys, deletion이라는 조합은 계정 관리보다 자격증명 생명주기 관리가 중요하다는 점을 보여준다.
이 문제는 개발자가 키를 폐기했다고 믿는 순간에도 서비스 연동, 자동화 스크립트, 외부 API 호출이 계속 작동할 수 있다는 위험을 만든다. Google, API Keys, deletion after activation 이슈는 클라우드 보안에서 삭제, 비활성화, 감사로그 확인이 별개 절차임을 의미한다. 따라서 정부와 기업은 키 회수 후 검증 절차를 강제해야 한다.
정량 수치는 기사에 없지만, 삭제된 키가 계속 살아있을 수 있다는 사실 자체가 데이터 유출과 무단 호출의 잠재 시간을 늘린다. 이는 공공 클라우드와 민간 SaaS에서 사고 대응 시간을 단축해야 하는 정책 근거가 된다.
한국 정부는 클라우드 사업자와 공공기관 계약에 자격증명 폐기 확인 API, 자동 만료, 회수 후 재검증 로그를 포함해야 한다. 또한 개발자 계정과 서비스 계정을 분리 관리해, 사람이 삭제했다고 시스템 권한까지 동시에 사라진다는 가정을 버려야 한다.
국내 클라우드 보안 업체에는 비밀 관리, 키 수명 주기 추적, IAM 감사 자동화 시장이 커질 수 있다. 정부가 이 기준을 선제적으로 설정하면 글로벌 사업자 의존도를 낮추는 동시에 공급망 통제력을 높일 수 있다.