10월 6일 화요일, 영국 패션 유통업체 ASOS의 고객들은 공식 앱에서 “ASOS HACKED”라는 제목의 푸시 알림을 받았습니다.

메시지 내용은 다음과 같았습니다. “ASOS DPO 및 IT 담당자님께, 우리는 Snowflake 인스턴스를 완전히 유출했습니다. 우리와 협의하십시오. 그렇지 않으면 유출하겠습니다.”

이 메시지로 해커들은 사이버 공격 무기고에 새로운 무기를 꺼내 들었습니다. 바로 기업 계정의 보안을 뚫고 몸값 요구를 고객에게 직접 전달한 것입니다. 이러한 ASOS식 공격이 일상화된다면, 정기적으로 고객에게 메시지를 보내는 모든 기업에 영향을 미칩니다. 이메일이나 인앱 메시지로 소비자에게 대량 메시지를 보내는 것은 신뢰할 수 있는 발신자가 피싱 공격을 증폭시키는 손쉬운 방법이며, 2020년 해킹된 Twitter 계정(새 창)을 통해 전송된 비트코인 사기와 비슷합니다. 또한 기업이 몸값을 지불하도록 압박하거나 기업의 수익성에 영향을 미치는 전반적인 혼란을 야기할 수도 있습니다.

다행히 근본적인 수준에서 기업이나 소비자로서의 예방 전략은 크게 달라지지 않습니다. 지금까지 확인된 내용은 다음과 같습니다.

ASOS에 무슨 일이 있었나요?

Snowflake는 ASOS가 클라우드 인프라로 사용한 데이터 저장 및 분석 서비스입니다. 해커들은 사회공학적 공격을 통해 Snowflake에 기본으로 통합된 Simon AI라는 플랫폼에서 직원의 계정에 접근했습니다. 보도(새 창)에 따르면 해커들은 “신뢰할 수 있는 연락처인 척하여 로그인 자격 증명을 확보”하는 방식으로 직원을 속였습니다.

(이번 사례에서 Snowflake 자체가 유출된 것은 아니지만, 이전에도 보안 사고가 발생한 적이 있습니다(새 창).)

그런 다음 해커들은 ASOS 앱의 알림 시스템을 이용해 ASOS 사용자에게 몸값 요구를 전송하는 이례적인 랜섬웨어 공격을 감행했습니다. 해당 알림이 회사의 DPO(개인정보 보호 책임자)와 IT 부서를 대상으로 한 점으로 보아, 해커들은 ASOS에 결제 압박을 가하기 위해 위협을 공개한 것으로 보입니다.

같은 날 시장 공시(새 창)에서 ASOS는 고객과 소통하는 데 사용되는 플랫폼과 관련된 무단 활동을 조사하고 있다고 밝혔습니다. 또한 이름과 연락처 정보를 비롯한 고객의 개인 정보가 접근되었을 수 있지만, 비밀번호와 결제 정보는 영향을 받지 않은 것으로 보인다고 고객에게 알렸습니다.

그러나 이후 며칠 동안 해커들이 실제로 수백만 명에 달할 수 있는 고객의 데이터를 수집했다는 사실이 드러났습니다(새 창). 해커들은 탈취한 데이터의 예시와 함께 BBC에 연락(새 창)했습니다. 이름, 주소, 전화번호, 이메일, 고객 번호, 생년월일 등이었습니다.

ASOS 고객은 어떻게 해야 할까요?

해커들이 개인 정보를 확보했기 때문에 이제 ASOS 고객을 대상으로 훨씬 더 효과적인 피싱 공격을 감행할 수 있습니다.

ASOS 고객이라면:

  • ASOS 계정에 사용할 강력한 비밀번호를 새로 만드세요.
  • ASOS에서 연락했다고 주장하는 사람이 추가 정보가 필요하다거나 계정이 현재 잠겼다고 말하며 연락해 온다면, 상대하지 마세요. 전화, 이메일, SMS를 받았다면 ASOS의 공식 고객 지원 채널(새 창)을 통해 ASOS에 알리세요.
  • 다른 판매업체나 모르는 사람이 추가 정보를 요구하거나 링크를 클릭하라고 하는 등 평소와 다른 이메일을 받는다면, 클릭하거나 상대하지 마세요. 예상치 못한 링크를 통하지 말고 항상 회사의 웹사이트나 앱에 직접 접속해 로그인하세요.

영향은 무엇인가요?

ASOS의 브랜드 평판도 크게 타격을 입었습니다. 고객 데이터가 탈취되었을 뿐만 아니라, 공격 사실이 실시간으로 고객에게 직접 알려졌습니다. ASOS는 고객과 규제 당국에 보안 사고를 알리기 전에 공격을 진압할 시간이 없었습니다.

공격 이후 우려한 고객들이 소셜 미디어에 관련 내용을 게시하면서 ASOS의 주가는 최대 11%(새 창) 하락했습니다. 직접적인 알림은 기업에 직접 가해지는 일반적인 몸값 공격보다 훨씬 더 큰 불안과 긴박감을 불러일으켰습니다. 사용자를 겨냥한 해커들은 위협이 얼마나 광범위한지 분명하지 않았기 때문에 더 큰 혼란을 일으켰습니다.

기업은 고객과 소통하는 데 사용하는 플랫폼이 앞으로 해커의 표적이 될 가능성이 더 크다는 점을 인식해야 합니다. 해커가 고객에게 직접 접근할 수 있다면 대응에 대한 통제력을 즉시 잃게 되고, 브랜드에 대한 고객의 신뢰는 무너집니다.

기업은 이런 유형의 공격을 어떻게 피할 수 있을까요?

해커들은 ASOS의 신뢰할 수 있는 연락처인 척하여 Snowflake 계정에 접근했습니다. 이는 피싱의 전형적인 사례입니다. 기업을 피싱으로부터 보호하는 방법에 대해 자세히 다룬 바 있지만, 기업이 취할 수 있는 가장 중요한 조치 중 하나는 민감한 고객 데이터에 접근할 수 있는 모든 계정에 2단계 인증(2FA)을 활성화하는 것입니다.

2단계 인증 활성화

2단계 인증을 활성화하면 해커가 뚫기 훨씬 어려운 추가 보호 계층이 계정에 생깁니다. 각 계정에 강력하고 고유한 비밀번호와 함께 2단계 인증을 사용하는 것은 기업을 피싱 공격으로부터 보호하는 효과적이고 간단한 해결책입니다.

비밀번호 관리 중앙화

2단계 인증 인증기가 내장된 기업용 비밀번호 관리자와 이메일 별칭, 안전한 공유 기능을 도입하면 ASOS에 가해진 유형의 공격으로부터 기업을 보호하는 데 도움이 됩니다. 비밀번호를 안전하게 생성, 저장, 자동완성할 수 있는 종단간 암호화 비밀번호 관리자에서 로그인을 보호하면 팀원들이 안전하게 업무를 수행하고 접근해야 하는 민감한 데이터를 보호할 수 있습니다.

커뮤니케이션 채널 강화

보안 감사는 흔히 결제 시스템, 핵심 데이터베이스, 고객 관계 관리 시스템 등 중요한 시스템부터 시작합니다. 하지만 ASOS 해킹 사례는 커뮤니케이션 채널이 차단해야 할 위험한 공격 경로임을 보여줍니다. 소셜 미디어 계정, 인앱 알림 플랫폼, Mailchimp 같은 이메일 플랫폼, SMS 플랫폼은 2단계 인증을 엄격히 적용한 최소한의 직원만 사용하도록 제한해야 합니다.

이메일 주소나 비밀번호가 피싱으로 유출되더라도 해커는 2단계 인증으로 보호되는 계정에 접근할 수 없습니다. 각 계정에 고유한 비밀번호가 있고 이메일 별칭을 사용한다면, 해커는 여러 서비스에서 비밀번호를 재시도하거나 이메일 주소에 대한 활동 프로필을 만들 수 없습니다.

해커들이 공격 전략을 계속 발전시키는 가운데, 평판을 훼손하고 고객을 표적으로 삼을 기회를 주지 마세요. 나와 고객을 안전하게 지켜 주는 기업용 비밀번호 관리자를 도입하세요.