TL;DR
- 윈도우 제어판의 '자격 증명 관리자'는 사내망 NAS, 공유 드라이버, 원격 데스크톱 접속 암호를 로컬에 암호화하여 저장합니다.
- PC를 타인에게 양도하거나 반납할 때 브라우저 캐시만 지우면, 운영체제 수준에 저장된 네트워크 자격 증명(Windows Vault)으로 사내 주요 자산에 무단 접근할 위험이 남습니다.
- 제어판 GUI에서 제거되지 않거나 다중 계정 세션에 묶인 자격 증명은 명령 프롬프트(
cmdkey) 및 PowerShell 스크립트를 통해 누락 없이 일괄 파기해야 합니다. - 시스템 레벨의 보호된 저장소와 자격 증명 캐시 폴더까지 비워야 잔여 세션 탈취 위험을 완전히 차단할 수 있습니다.
핵심 개념
윈도우 자격 증명 관리자(Credential Manager)는 Windows Vault 시스템을 기반으로 작동합니다. 사용자가 네트워크 드라이브(\\NAS_SERVER), 원격 데스크톱(RDP), 내부 그룹웨어 등에 접속할 때 '내 자격 증명 기억'을 선택하면, NTLM 해시 또는 Kerberos 티켓 생성을 위한 원본 비밀번호가 LSASS(Local Security Authority Subsystem Service) 및 로컬 DPAPI(Data Protection API)로 암호화되어 디스크에 기록됩니다.
단순히 바탕화면의 바로가기를 지우거나 브라우저 방문 기록을 초기화하더라도, 이 Windows 자격 증명은 C 드라이브 사용자 프로필(%APPDATA%\Microsoft\Credentials 및 %LOCALAPPDATA%\Microsoft\Vault) 내에 그대로 남습니다. PC를 새로 인계받은 사용자가 파일 탐색기 주소창에 사내 NAS IP나 서버 호스트명을 입력하기만 해도 추가 인증 없이 최고 관리자 권한으로 자동 로그인될 수 있습니다.
또한 제어판 GUI는 현재 로그인된 일반 사용자 컨텍스트의 자격 증명만 표시합니다. 시스템 백그라운드 서비스나 관리자 권한 세션에서 생성된 엔터프라이즈 SSO 토큰 및 도메인 바인딩 자격 증명은 GUI 목록에 표시되지 않는 경우가 있으므로, 명령줄 인터페이스(cmdkey)를 통한 전수 검사와 소거 작업이 필수적입니다.
단계별 실행 가이드
1단계: 제어판 GUI를 통한 육안 확인 및 기본 제거
Win + R키를 누르고control /name Microsoft.CredentialManager를 입력한 뒤 엔터를 누릅니다.- Windows 자격 증명 탭을 선택합니다. (웹 자격 증명은 엣지 브라우저 저장 암호이며, 네트워크 공유는 Windows 자격 증명에 위치합니다.)
- 하단의 일반 자격 증명 및 엔터프라이즈 자격 증명 항목을 확장합니다.
- 사내 IP, NAS 도메인, 공유 프린터 경로로 등록된 항목을 클릭한 후 제거를 누릅니다.
2단계: CMD cmdkey 명령어로 은닉된 자격 증명 확인 및 일괄 삭제
GUI에 나타나지 않는 잔여 토큰을 확인하고 터미널에서 즉시 파기합니다.
1. Win + S를 누르고 cmd를 검색한 뒤 관리자 권한으로 실행합니다.
2. 현재 시스템에 캐시된 모든 네트워크 대상 목록을 조회합니다.
cmdkey /list
- 출력된 결과 중
대상(Target)항목에 사내 서버명, 도메인,MicrosoftAccount,WindowsLive등이 포함된 항목을 확인합니다. - 특정 대상을 개별 삭제할 경우 아래 명령을 수행합니다.
cmdkey /delete:대상이름
- 등록된 모든 일반/도메인 자격 증명을 루프 명령어로 한 번에 삭제하려면 아래 한 줄 명령을 실행합니다.
for /f "tokens=1,2 delims= " %G in ('cmdkey /list ^| findstr /C:"Target:" /C:"대상:"') do cmdkey /delete:%H
(참고: 영문 윈도우는 Target:, 한글 윈도우는 대상: 문자열을 파싱하여 등록된 모든 키를 순차 삭제합니다.)
3단계: 활성 SMB 세션 캐시 강제 종료
자격 증명 데이터베이스를 삭제해도 현재 메모리(NetBIOS/SMB 세션)에 남아 있는 네트워크 연결은 PC를 재부팅하기 전까지 유지될 수 있습니다. 이를 즉시 끊어내야 합니다. 1. 명령 프롬프트에서 활성화된 네트워크 연결을 조회합니다.
net use
- 연결된 모든 공유 세션을 강제로 닫습니다.
net use * /delete /yes
4단계: DPAPI 암호화 자격 증명 물리 캐시 폴더 정리
윈도우 볼트에 기록된 실제 바이너리 토큰을 디스크에서 지웁니다.
1. 탐색기 또는 실행창(Win + R)을 열고 아래 경로로 이동합니다.
- %APPDATA%\Microsoft\Credentials
- %LOCALAPPDATA%\Microsoft\Vault
2. 해당 폴더 내부에 존재하는 암호화 키 해시 파일들을 영구 삭제(Shift + Delete)합니다.
비교/체크리스트
| 소거 방식 | 소거 대상 범위 | GUI 미표시 항목 삭제 여부 | SMB 활성 세션 차단 | 소요 시간 | 적합한 상황 |
|---|---|---|---|---|---|
| 제어판 GUI 삭제 | 일반 사용자 레벨 Windows 자격 증명 | 불가능 | 차단 불가 (재부팅 전까지 세션 유지) | 1분 | 단순 개인 PC의 특정 사이트 암호 수정 |
| cmdkey 명령어 소거 | 로컬 및 도메인 대상 자격 증명 전수 | 가능 | 차단 불가 (별도 net use 필요) |
2분 | 사내 PC 인수인계 및 부서 이동 시 |
| 스크립트 + 캐시 영구 파기 | 레지스트리, DPAPI 볼트 파일, 활성 세션 | 가능 | 완벽 차단 (net use * /delete 병행) |
3분 | 퇴사자 PC 반납 및 타 부서 양도 |
실무 사례 또는 예시
디자인 부서에서 퇴사한 직원의 노트북을 총무과 신규 입사자에게 지급한 사례가 있습니다. 인계 전 바탕화면 정리와 웹 브라우저 쿠키 삭제는 완료했으나, Windows 자격 증명 관리자는 초기화하지 않았습니다.
신규 입사자가 사내 인트라넷 공용 파일 서버에 접속하기 위해 사내 IP(\\192.168.0.200)를 탐색기에 입력하자, 퇴사한 직원이 사용하던 이전 관리자 권한의 자격 증명 토큰이 NTLM 세션을 통해 즉시 인증되었습니다. 이로 인해 신규 입사자에게 열람 권한이 없는 인사고과 및 임원 회의록 폴더가 그대로 노출되는 사고가 발생했습니다.
이후 전산 담당자는 cmdkey /list를 확인하여 4개의 내부 RDP 대상과 2개의 백업 NAS 인증 토큰이 평문 세션으로 연동 대기 중이었음을 확인하였고, 사내 PC 인수인계 체크리스트에 cmdkey 일괄 삭제 및 net use 세션 초기화를 필수 단계로 추가했습니다.
자주 묻는 질문(FAQ)
Q1. 자격 증명 관리자에서 자격 증명을 삭제하면 사내 NAS의 원본 계정이 지워지나요?
아닙니다. 삭제되는 것은 접속을 시도하는 해당 로컬 PC에 저장된 인증 정보(아이디 및 해시된 암호)뿐이며, 사내 서버나 NAS 본체에 생성되어 있는 사용자 계정 데이터에는 아무런 영향을 주지 않습니다.
Q2. cmdkey /delete 명령을 실행했는데도 네트워크 드라이브가 계속 열립니다. 왜 그런가요?
윈도우 워크스테이션 서비스가 이미 메모리상에 SMB 세션을 핸들링하고 있기 때문입니다. 인증 정보가 로컬 저장소에서 제거되었더라도 현재 열려 있는 파이프는 유지되므로, 반드시 관리자 권한 CMD에서 net use * /delete /yes 명령을 실행하거나 PC를 재부팅해야 합니다.
Q3. 윈도우 사용자 계정을 새로 하나 만들어서 넘겨주면 기존 자격 증명은 안전한가요?
네, Windows 자격 증명 관리자의 DPAPI 키는 사용자 SID(보안 식별자) 기반으로 독립 격리됩니다. 따라서 기존 사용자 프로필(C:\Users\[기존계정])을 윈도우 시스템 설정의 '고급 시스템 설정 - 사용자 프로필'에서 완전히 삭제하고 새 계정을 발급하면 이전 자격 증명은 파기됩니다. 단, 공용 로컬 계정(예: User, Administrator)을 암호만 바꿔서 그대로 넘겨줄 때는 반드시 본 가이드의 절차대로 소거해야 합니다.
용어 설명
- Windows Vault(윈도우 자격 증명 보관함): 운영체제 및 공인 인증 모듈이 웹 사이트 로그인 정보, 네트워크 공유 암호, 원격 데스크톱 인증 키를 안전하게 보관하기 위해 사용하는 보호된 저장 영역입니다.
- DPAPI(Data Protection API): 윈도우 OS가 대칭 암호화 키를 생성할 때 현재 로그인한 사용자의 로그인 비밀번호 해시를 마스터 키로 활용하여 데이터를 암호화/복호화하는 보안 API입니다.
- cmdkey: 명령 프롬프트 환경에서 사용자의 저장된 사용자 이름과 자격 증명을 생성, 나열 및 삭제할 수 있는 내장 명령줄 유틸리티입니다.
마무리
네트워크 자격 증명 소거는 저장장치 내부의 민감한 파일 자체를 지우는 것만큼이나 중요합니다. 단 한 번의 자동 로그인이 사내 인트라넷 전체의 권한 체계를 무너뜨릴 수 있기 때문입니다. 사내망, NAS, 업무 공유 폴더에 접속했던 윈도우 PC를 외부로 반출하거나 타인에게 양도해야 한다면 반드시 cmdkey 점검과 활성 세션 초기화를 수행하십시오.
데이터 정리가 끝났다면 이제 가치를 확인할 차례입니다. 무료 견적 받기로 이어가 보세요.