Wiz, ARTEX 공격을 더 광범위한 소프트웨어 공급업체 캠페인과 연계

Wiz는 10월 22일 IT 및 소프트웨어 공급업체를 겨냥한 ARTEX 공격을 공개하며, 최근 보도된 ConnectWise 침해 사고를 넘어 보안 조사의 범위를 확장했다. 연구진은 Microsoft가 중국 정부와 연계된 것으로 평가하는 위협 행위자 Storm-0940과 겹치는 활동을 설명했다. 핵심적인 긴장은 분명하다. 소프트웨어 공급업체는 취약점 탐색을 자동화하는 공격자로부터 고객의 신뢰를 지켜야 한다.

ARTEX는 에이전트를 조율해 시스템의 보안 취약점을 점검하는 AI 침투 테스트 프레임워크다. 이러한 기능은 승인된 테스트에도, 승인되지 않은 공격에도 활용될 수 있다. 여기서 중심 갈등은 자동화된 공격 테스트와 고객이 비즈니스 시스템을 연결할 때 공급업체가 부담하게 되는 책임에 있다.

Microsoft의 ConnectWise 조사는 구체적인 기준점을 제공하지만, Wiz의 공개는 소프트웨어 기업 전반의 노출에 관한 더 폭넓은 질문을 제기한다. 공격 시도만으로 침해가 입증되는 것은 아니다. 그럼에도 공급업체와 고객은 어떤 신뢰된 연결이 다른 환경으로 들어가는 경로가 될 수 있는지 이해해야 한다는 압박을 받고 있다.

Wiz의 ARTEX 공격 공개가 추가한 내용

Wiz 연구원 Sapir Federovsky와 Rami McCarthy에 따르면, 10월의 활동은 여러 공급업체를 겨냥했으며 추가적인 소프트웨어 분야로도 확장됐다. 이들의 ARTEX 공격 조사 결과는 Microsoft 365 통합 환경과 함께 Okta, Microsoft Entra, AWS Cognito ID 환경 전반에서의 탐색 활동을 설명한다. 이러한 서비스는 시스템에 접근할 수 있는 주체를 확인하는 과정인 인증을 관리한다.

Wiz는 인증 우회, 애플리케이션 인터페이스 탐색, 공급업체의 고객 데이터 접근 시도가 있었다고 보고했다. 또한 24~30시간 지속된 세션을 포함한 지속적인 활동도 설명했다. 연구진에 따르면 대부분의 시도는 실패했다.

이 공개는 표적이 된 모든 공급업체가 침해를 겪었다고 단정하지 않으면서 조사의 범위를 넓힌다.

이 구분은 독자가 이 뉴스를 해석하는 방식을 바꾼다. 표적 목록은 공격자의 관심을 보여준다. 검증된 침입은 접근이 이뤄졌음을 뜻한다. 고객 정보가 환경 밖으로 유출됐다는 증거는 또 다른 수준의 영향을 의미한다.

이 범주들을 결합하면 공개 증거가 뒷받침하는 수준보다 이야기가 더 단정적으로 들릴 수 있다. 이를 구분하면 운영상 함의를 더 쉽게 평가할 수 있다. 공급업체는 아직 성공적인 접근을 확인하지 못했더라도 의심스러운 행동을 조사해야 한다.

더 광범위한 캠페인의 중요성은 개별 제품을 넘어선다. 공급업체는 자체 애플리케이션을 철저히 평가하면서도 고객과 연결하는 권한은 간과할 수 있다. 고객은 자체 직원들을 면밀히 검토하면서도 공급업체 애플리케이션 ID에 대해서는 가시성이 낮을 수 있다.

이는 살펴볼 가치가 있는 책임 공백을 만든다. 각 조직은 관계의 일부만 보지만, 공격자는 관계 자체를 노릴 수 있다. 따라서 보안 검토는 각 기업이 운영하는 시스템과 함께 기업들을 연결하는 신뢰 관계도 고려해야 한다.

기업 구매자에게 즉각적인 의미는 질문 방식의 변화다. 공급업체가 의심스러운 트래픽을 경험했는지 묻는 것은 유용하다. 실패한 탐색과 고객 노출을 구분하는 증거가 무엇인지 묻는 편이 더 많은 정보를 제공한다.

공급업체에게 이 공개는 경계를 명확히 설명해야 한다는 압박을 만든다. 어떤 관찰이 공개 애플리케이션 엔드포인트와 관련되는가? 어떤 것이 직원 ID와 관련되는가? 어떤 것이 고객 통합과 관련되는가? 이러한 답변은 AI 위협에 관한 일반적 설명보다 적절한 대응을 더 직접적으로 결정한다.

따라서 Wiz의 기여는 더 넓은 조사 관점이다. 보고서는 소프트웨어 공급업체를 고객 환경에서 연결된 참여자로 검토하도록 촉구한다. 그렇다고 전체 산업이 침해됐다고 취급할 근거가 되는 것은 아니다.

소프트웨어 공급업체는 고객의 신뢰를 짊어진다

관련된 ConnectWise 사고는 공급업체 접근 권한이 주목받아야 하는 이유를 보여준다. ConnectWise는 10월 23일 업데이트에서 이전 SkyKick이었던 Cloud Backup과 연계된 애플리케이션 자격 증명에 대한 무단 접근을 인정했다. 자격 증명은 애플리케이션이 자신의 ID를 확립할 수 있게 하는 비밀 정보나 기타 인증 자료다.

회사의 Cloud Backup 권고문은 복구 테스트와 보안 검증이 계속 진행 중이라고 밝혔다. 또한 성공적인 검증을 전제로 기능을 단계적으로 복구할 계획이라고 설명했다. 이는 비즈니스 서비스를 복구하는 일과 그 보안에 대한 신뢰를 확립하는 일 사이에 즉각적인 긴장을 만든다.

공급업체의 복구는 그 애플리케이션이 고객 환경에 연결될 때 고객 신뢰에 관한 결정이기도 하다.

백업 통합은 특히 명확한 사례를 제시한다. 고객은 비즈니스 정보를 보호하는 데 서비스가 필요하기 때문에 서비스에 권한을 부여한다. 그 결과 생기는 접근 권한은 일상 운영의 일부가 되며, 이 통합은 유용하면서도 중요한 영향을 갖게 된다.

분석의 핵심 질문은 그 관계를 뒷받침하는 ID를 신뢰할 수 없게 됐을 때 어떤 일이 일어나는가다. 익숙함만으로 요청이 계속 정당하다고 입증할 수는 없다. 애플리케이션은 알아볼 수 있는 이름을 유지할 수 있지만, 인증의 배경 상황은 달라질 수 있다.

이것이 공급업체 보안이 조달 설문지로 끝날 수 없는 이유다. 관련 관계는 배포 후에도 권한 변경, 자격 증명 교체, 서비스 중단, 최종 폐기를 거치며 계속된다. 각 단계는 누가 접근을 승인할 수 있고 누가 이를 철회할 수 있는지에 관한 질문을 제기한다.

부담은 여러 집단에 동시에 돌아간다. 공급업체 보안팀은 최초 노출을 조사한다. 고객 관리자는 자체 환경을 평가한다. 비즈니스 책임자는 필수 통합이 계속 사용할 수 없는 동안 어느 정도의 중단을 감수할 수 있을지 결정한다.

이러한 결정에는 서로 다른 증거가 필요하다. 서비스 복구 공지는 운영팀의 계획 수립에 도움이 된다. 영향을 받은 ID에 관한 기술적 설명은 조사자가 노출을 평가하는 데 도움이 된다. 어느 쪽도 다른 집단이 마주한 모든 질문에 자동으로 답하지는 않는다.

따라서 기업 구매자는 가용성 약속과 보안 설명을 구분해야 한다. 이전 활동에 관한 질문이 조사 중인 동안에도 서비스는 운영을 재개할 수 있다. 반대로 장기간의 중단이 고객 데이터가 도난당했다는 사실을 입증하지는 않는다.

공급업체가 받는 압박은 이러한 구분을 이해할 수 있게 만드는 데 있다. 고객은 광범위한 안심 메시지에서 기술적 결론을 추론하라는 요구를 받지 않고도 행동할 수 있을 만큼 충분한 세부 정보를 필요로 한다. 또한 이전 발표 이후 무엇이 바뀌었는지 식별하는 업데이트도 필요하다.

개발자에게 이 문제의 중요성은 제품 설계로 확장된다. 통합의 권한은 고객 영향의 일부다. 접근에 관한 결정은 안정성과 기능성에 관한 결정만큼 신중한 검토를 받아야 한다.

연결형 소프트웨어의 상업적 약속은 여전히 강력하다. 그 대가는 유용한 접근 권한이 관계 전반에 걸쳐 이해 가능하고, 관찰 가능하며, 철회 가능해야 한다는 점이다.

자동화는 대응 가능 시간을 바꾼다

Microsoft의 10월 21일 조사는 Storm-0940과 연계된 ARTEX 사용에 관한 가장 강력한 공개 설명을 제공한다. Microsoft는 이 행위자가 2026년 9월부터 이르면 시작해 전 세계 수백 개 조직을 상대로 프레임워크를 사용했다고 밝혔다.

에이전트형 공격 분석은 초기 표적화가 3시간 이내에 권한 있는 클라우드 접근으로 이어진 사례를 보고한다. Microsoft는 또한 Storm-0940이 ConnectWise 공급망 침해의 책임이 있다고 평가한다. 공급망 침해는 공급업체 또는 신뢰된 종속성을 이용해 다른 조직에 도달하는 방식이다.

Microsoft는 애플리케이션 인증의 악용과 이후 Microsoft Graph 활동을 설명했다. Microsoft Graph는 애플리케이션이 Microsoft 클라우드 리소스와 상호작용하는 데 사용하는 인터페이스다. 성공적인 인증이 반드시 데이터 접근이나 탈취를 의미하는 것은 아니라고 경고했다. 또한 해당 활동은 Microsoft 자체 시스템, 제품 또는 서비스의 침해나 취약점에서 비롯된 것이 아니라고 밝혔다.

대응 과제는 의심스러운 활동과 중대한 접근 사이에 주어지는 시간이다.

이는 익숙한 보안 지표의 가치를 바꾼다. 조직은 광범위한 경보를 수집하고도 의사결정이 너무 늦게 이뤄지면 어려움을 겪을 수 있다. 중요한 질문은 공격자가 또 다른 거점을 확보하기 전에 대응 프로세스가 접근을 차단할 수 있는가가 된다.

이는 자동화가 항상 성공한다는 주장이 아니라 운영상 판단이다. 실패한 자동화 시도는 여전히 실패한 시도다. 그러나 공격자가 그 지연 시간 동안 계속 작업할 수 있을 때, 지연된 인간 조율에 의존하는 방어는 면밀히 검토할 필요가 있다.

흔한 조직 경계를 생각해 보자. 한 팀은 애플리케이션을 소유하고, 다른 팀은 ID를 관리하며, 또 다른 팀은 사고 대응을 조율한다. 각 팀은 맡은 일을 유능하게 수행할 수 있지만, 팀 사이의 인계가 결정을 늦출 수 있다.

구매자를 위한 교훈은 그 인계를 살펴보는 데 있다. 누가 통합을 중단할 수 있는가? 누가 비즈니스 영향을 이해하는가? 누가 복구가 적절한지 판단할 수 있는가? 이러한 책임이 사전에 정리될 때 대응 계획은 더 신뢰할 수 있게 된다.

같은 논리는 방어 자동화에도 적용된다. 자동화된 격리는 지연을 줄일 수 있지만, 잘못된 조치는 정당한 비즈니스를 중단시킬 수 있다. 따라서 관련 비교는 인간과 기계 지능을 고립해 비교하는 것이 아니라, 오류 비용이 서로 다른 대응 방식 간의 비교다.

권한이 제한된 조치는 무제한 대응보다 정당화하기 더 쉬울 수 있다. 예를 들어 조직은 증거를 보존하면서 의심스러운 연결을 일시 중단하기 위한 조건을 설정할 수 있다. 이는 비즈니스와 보안의 의견이 필요한 거버넌스 선택이다.

Wiz와 Microsoft 역시 방어적 AI 기능이 점점 더 주목받는 시장에서 활동한다. 이들의 공격 관찰은 대응 속도를 평가해야 한다는 근거를 제시한다. 그렇다고 특정 방어 제품이 유사한 활동을 신뢰성 있게 차단할 수 있다는 사실이 입증되는 것은 아니다.

구매자는 측정 가능한 증거를 요구해야 한다. 어떤 행동이 조치를 촉발하는지, 시스템에 어떤 권한이 부여되는지, 분석가가 그 결정을 어떻게 검토하는지를 물어야 한다. 제품 시연은 이러한 한계를 드러낼 때 더 유용해진다.

더 광범위한 상충 관계는 일관되게 유지된다. 자동화는 보안 업무의 속도를 높일 수 있지만, 위임된 권한이 올바른 결정과 잘못된 결정 모두의 결과를 좌우한다.

애플리케이션 신뢰는 격리를 복잡하게 만든다

Huntress는 공급업체 자격 증명 악용에 관한 설명을 통해 별도의 조사 관점을 제시한다. 이 회사는 무단 애플리케이션 접근을 보고했으며, 애플리케이션이 스스로 관리 권한을 부여하고 다른 애플리케이션에 자격 증명을 추가한 사례를 설명했다.

또한 최초로 영향을 받은 애플리케이션을 비활성화해도 이미 다른 곳에 심어진 자격 증명은 제거되지 않는다고 경고했다. 따라서 고객 환경 내 애플리케이션의 로컬 ID인 서비스 주체는 최초 로그인 이후에도 조사가 필요하다.

Huntress의 10월 19일 업데이트는 또 하나의 중요한 단서를 제시했다. 해당 업데이트는 조사한 애플리케이션 로그인과 관련된 일부 실패한 비밀번호 시도를 자체 가시성 범위에서 고려하지 않았다고 밝혔다. 공유 인프라만으로는 그 관계를 확정할 수 없었다.

차단 조치는 실제로 확보된 접근 권한을 기준으로 이뤄져야 하며, 귀속 판단은 실제로 확보 가능한 증거를 따라야 한다.

두 분야는 관련돼 있지만, 서로 다른 질문에 답한다. 귀속 판단은 누가 공격을 수행했는지와 연구자들이 사건들을 얼마나 확실하게 연결할 수 있는지를 묻는다. 차단은 어떤 접근 경로가 여전히 열려 있는지, 이를 닫기 위해 무엇을 변경해야 하는지를 묻는다.

조직은 무단 사용된 자격 증명을 처리하기 전에 최종적인 지정학적 귀속 판단을 기다릴 필요가 없다. 마찬가지로 의심스러운 자격 증명을 식별했다고 해서 이를 만든 사람의 신원이 확인되는 것은 아니다. 이 질문들을 혼동하면 대응이 지연되거나 공개적인 주장에 과장이 더해질 수 있다.

Microsoft의 이전 연구는 역사적 맥락을 제공한다. 2024년 Storm-0940 조사는 해당 행위자가 탈취한 자격 증명과 다른 진입 지점을 통해 접근 권한을 확보했다고 설명했다. 여러 계정에 흔히 쓰이는 비밀번호를 시도하는 패스워드 스프레이는 이미 이 활동 내역의 일부였다.

역사적 비교는 절제된 해석을 뒷받침한다. 현재의 우려는 이미 확립된 공격 목표에 자동화가 적용되고 있다는 점이다. 공급업체가 압박을 받는 이유를 이해하기 위해 독자가 완전히 새로운 종류의 취약점을 가정할 필요는 없다.

차단 문제는 고객 대면 사고가 최초의 자격 증명 재설정 이후에도 지속될 수 있는 이유를 설명한다. 복구에는 해당 자격 증명을 통해 도달한 환경에 대한 확신이 필요하다. 이는 최초의 비밀 정보가 여전히 작동하는지보다 더 넓은 질문이다.

유용한 비유는 비즈니스 프로세스에서의 위임 권한이다. 누군가의 최초 권한을 취소한다고 해서 그 권한을 보유한 동안 내린 모든 결정이 자동으로 되돌려지는 것은 아니다. 조사자는 어떤 변경이 발생했으며 그 변경이 여전히 유효한지를 파악해야 한다.

이로 인해 문서화 부담이 생긴다. 팀에는 영향을 받은 ID, 승인된 변경 사항, 해결되지 않은 관찰 결과, 복구 결정에 관한 공동 기록이 필요하다. 이 기록이 없으면 서로 다른 팀이 동일한 사고의 서로 다른 시점 자료를 바탕으로 양립할 수 없는 결론에 이를 수 있다.

엔지니어링 조직의 경우 검색 가능한 지식 기반을 유지하면 기술 자료와 대응 결정을 정리하는 데 도움이 될 수 있다. 이는 조율을 지원하며, 접근 탐지와 통제의 책임은 여전히 보안 시스템에 있다.

실무적 함의는 연속성에 관한 것이다. 조사가 팀 사이를 이동하는 동안 증거, 책임 소재, 결정이 계속 연결돼야 한다. 그렇지 않으면 겉으로 완료된 조치가 완료된 복구로 오인될 수 있다.

증거만으로 확정할 수 없는 것

공개 보도는 ARTEX 공격, 공급업체 노출, 자동화된 공격 활동에 관한 심각한 논의를 뒷받침한다. 동시에 귀속, 전반적 효과, 고객 영향의 범위에 관한 의문도 남긴다.

자동화의 증거는 조사를 촉발해야 하지만, 공격의 모든 단계를 확실하다고 단정하는 지름길이 되어서는 안 된다.

Wiz는 Storm-0940과의 중복을 설명한다. 이 표현은 중복 평가가 관측된 모든 사건을 단일 행위자에게 귀속하는 것보다 범위가 좁다는 점에서 중요하다. 추가 공급업체나 소프트웨어 부문을 논의할 때도 독자는 이 구분을 유지해야 한다.

같은 주의는 효과성에도 적용된다. 성공적인 권한 있는 접근에 대한 보고는 해당 환경에서 중요한 결과가 발생했음을 보여 준다. 하지만 이는 이 프레임워크의 보편적 성공률이나 인간 운영자와의 통제된 비교를 제공하지는 않는다.

그 비교를 위해서는 의미 있는 기준선이 필요하다. 비교 가능한 표적, 초기 접근 권한, 목표, 방어 조건이 중요하다. 이런 요소 없이는 경과 시간만으로 AI 구성 요소의 기여도를 분리할 수 없다.

이는 관측된 피해를 축소하지 않는다. 다만 합리적으로 도출할 수 있는 더 광범위한 결론의 범위를 제한한다. 효과적인 분석은 사고를 중대하게 다루면서도 일반적 우월성에 관한 주장은 입증되지 않은 상태로 남길 수 있다.

자동화된 순서와 완전 자율형 캠페인 사이에도 차이가 있다. 인간 운영자는 표적을 선택하고, 자격 증명을 제공하며, 개입하거나 활동 방향을 바꿀 수 있다. 공개된 설명은 모든 환경에서 동일한 수준의 인간 개입이 있었다는 점을 입증하지 않는다.

엔터프라이즈 독자에게 이 불확실성은 관측 가능한 행동에 집중해야 한다는 시사점을 준다. 무단 인증, 예기치 않은 권한 변경, 설명되지 않는 자격 증명은 공격자가 다음 행동을 어떻게 생성했는지와 무관하게 중요하다. 도구의 브랜딩이 바뀌어도 방어 체계는 계속 유용해야 한다.

Wiz, Microsoft, Huntress의 비교는 이 점을 강화한다. 이들의 설명은 서로 다른 환경과 서로 다른 조사 질문을 다룬다. 광범위한 우려에 대한 일치는 각자의 데이터셋을 서로 대체 가능하게 만들지 않는다.

ConnectWise는 복구 업데이트를 통해 영향을 받은 공급업체의 관점을 더한다. 이 업데이트는 서비스 복구와 조사 상태에 관한 것이다. 각 설명의 날짜와 범위에 유의하면서 기술적 조사 결과와 함께 읽어야 한다.

또 다른 미해결 문제는 보고된 공급업체 표적화가 고객 영향으로 얼마나 광범위하게 이어지는지다. 소프트웨어 공급업체를 겨냥한 시도는 면밀한 검토를 정당화한다. 그렇다고 시도된 모든 공급망 경로가 성공했다는 뜻은 아니다.

가장 강력한 보도는 계속해서 노출, 접근 시도, 인증된 접근, 관리자 변경, 검증된 데이터 영향을 구분할 것이다. 이 범주는 고객이 증거가 자체 시스템에 무엇을 의미하는지 평가하는 데 도움이 된다.

또한 도움이 되지 않는 구매 대응을 막는 데도 기여한다. 극적인 사고는 통제와 가시성에 대해 더 날카로운 질문을 낳아야 한다. AI라는 라벨만으로 보안 제품이 작동한다는 충분한 증거가 되어서는 안 된다.

현재로서는 책임 있는 결론이 구체적이다. 여러 조사자는 중대한 애플리케이션 악용을 설명하고 있으며, Wiz는 더 광범위한 공급업체 표적화 패턴을 보고한다. 공개 기록은 여전히 캠페인 경계와 결과에 대해 신중한 해석을 요구한다.

검증된 영향과 더 안전한 복구를 주시하라

다음 단계는 구체적인 공개 내용과 운영 결과를 통해 평가해야 한다. 명확한 순서로 세 가지 신호에 주목할 만하다. 알려진 사고를 넘어선 확인된 영향, 복구를 뒷받침하는 증거, 검증된 방어 성능이다.

가장 강력한 후속 조치는 무엇이 발생했는지, 어떤 접근이 계속 차단돼 있는지, 어떤 통제가 결과를 바꿨는지를 보여 줄 것이다.

첫째, 추가 공급업체가 기술적으로 뒷받침된 조사 결과를 공개하는지 지켜봐야 한다. 중요한 신호는 의심스러운 트래픽이 발생했다는 진술이 아니라 검증된 무단 접근 또는 고객 영향이다. 이러한 공개는 해당 캠페인이 여러 소프트웨어 기업에 걸쳐 결과를 낳고 있다는 평가를 강화할 것이다.

반대의 결과도 중요하다. 차단된 시도에 관한 상세한 설명은 기존 방어 체계가 어디에서 유지됐는지를 파악하는 데 도움이 된다. 또한 자동화된 탐색이 확립된 통제를 안정적으로 무력화한다는 포괄적 주장을 약화할 것이다.

둘째, ConnectWise의 복구 공지와 함께 제공되는 고객 지침을 지켜봐야 한다. 의미 있는 이정표는 완료된 검증과 명확한 재연결 지침으로 뒷받침되는 기능 복귀다. 회사가 관련 작업을 확인하기 전까지 복구 예상은 어디까지나 예상이다.

고객은 자신의 책임에 관한 명확성도 찾아야 한다. 공급업체 복구와 고객 조사는 연결돼 있지만 별개의 과제다. 더 나은 지침은 어떤 결론이 중앙에서 적용되고 어떤 결론에 현지 증거가 필요한지 이해하기 쉽게 해야 한다.

셋째, 유사한 행동에 대한 방어 통제의 독립적 평가를 지켜봐야 한다. 유용한 평가는 무엇이 탐지됐는지, 언제 개입이 이뤄졌는지, 어떤 정상 활동이 영향을 받았는지를 설명해야 한다. 방법론이 다른 이들도 상충 관계를 평가할 수 있게 할 때 결과는 더 설득력을 얻는다.

이 신호는 추가적인 방어 자동화의 필요성을 뒷받침하거나 약화할 수 있다. 관리 가능한 중단과 함께 더 빠른 차단이 이뤄진다면 이를 지지할 것이다. 잦은 오탐, 불분명한 권한, 불완전한 가시성은 구매자가 이해해야 할 한계를 드러낼 것이다.

이러한 관찰은 향후 수개월간의 조달 논의에 반영돼야 한다. 공급업체에는 고객 관리자가 검증할 수 있는 방식으로 애플리케이션 접근을 설명하도록 요구하라. 보안 공급업체에는 명시된 조건에서의 결과를 입증하도록 요구하라. 통합을 긴급히 중단해야 할 때 책임 소재가 명확하게 유지되는지 내부 팀에 물어라.

개발자에게도 병행되는 책임이 있다. 접근 권한을 요청하는 제품 기능은 최초 설치 과정 이후의 의무를 만든다. 사고가 이를 긴급한 고객 질문으로 바꾸기 전에 문서화, 권한 설계, 복구 동작에 주의를 기울여야 한다.

비즈니스 리더는 이 문제를 오로지 기술적 사안으로 다루지 말아야 한다. 백업 가용성, 고객 커뮤니케이션, 허용 가능한 중단에 관한 결정은 탐지와 같은 논의에 포함돼야 한다. 이러한 결정에 책임 있는 담당자가 있을 때 대응은 신뢰를 얻는다.

ARTEX 공격 공개를 활용해 조직이 이미 의존하는 구체적인 관계를 점검하라. 연결된 서비스, 그 비즈니스 책임자, 해당 서비스의 접근 권한, 그리고 그 ID가 의심스러워졌을 때 확보 가능한 증거를 식별하라. 그다음 누가 조치할 수 있으며 복구를 어떻게 평가할지 물어라. 조사자의 조사 결과를 공급업체의 현재 지침과 함께 읽되, 범위와 확신의 차이를 유지하라. 유용한 결과는 신뢰된 접근과 이를 둘러싼 결정에 대한 더 명확한 이해다. 공급업체가 오늘 그 연결을 중단해야 한다면, 팀은 복구 전에 무엇을 조사해야 하는지 알고 있을까?