랜섬 협박 메시지가 자사 앱으로 도착했을 때

10월 6일 아침, 영국과 여러 다른 시장의 ASOS 앱 사용자들은 신상품과 할인 코드를 알리는 푸시 알림을 평소 보내던 소매업체로부터 알림을 받았다. 이번 알림에는 “ASOS가 해킹당했다”고 적혀 있었다. 알림은 회사의 Data Protection Officer (DPO)와 IT팀을 수신 대상으로 했으며, 공격자들이 “Snowflake 인스턴스를 완전히 장악했다”고 주장하고 ASOS가 텔레그램 채널을 통해 연락하지 않으면 데이터를 유출하겠다고 위협했다. 

한 시간도 채 지나지 않아 ASOS 주가는 10% 넘게 하락했다. 공격자들은 단 한 건의 기록도 공개하지 않은 상태였다. 

현재까지 확인된 내용

ASOS는 확인했다. 그날 오후 무단 알림이 발송됐으며, 고객과 소통하는 데 사용하는 제3자 플랫폼에서 발생한 활동을 조사하고 있다고 밝혔다. ASOS는 해당 플랫폼에 대한 접근을 제한하고 이름과 연락처 정보가 노출됐을 가능성이 있다고 전했다. 결제 카드 정보나 계정 비밀번호는 영향을 받지 않은 것으로 보고 있다. 

10월 8일, 회사는 침입 경위를 설명했다. 누군가 신뢰받는 연락처인 것처럼 가장해 ASOS 직원에게 업무용 계정의 로그인 정보를 넘기도록 설득했다. 이 정보로 공격자들은 고객 소통 플랫폼에 접근할 수 있었다. ASOS는 이번 사건을 조사 중인 Information Commissioner’s Office에 통보했다. 

​​Snowflake에 대한 주장은 아직 입증되지 않았다. Snowflake는 자체 조사에서 자사 플랫폼이 침해되지 않았음을 확인했다고 밝혔으며, Xuanye Group이라고 자칭하는 메시지 배후 집단은 샘플 데이터를 공개하지 않았다. 앞으로 며칠 안에 샘플 기록이 공개되는지가 이 의문을 해소하는 데 큰 영향을 미칠 것이다. 한편 영국 국가사이버보안센터(NCSC)가 ASOS 고객에게 권고한 내용은 알림을 받았는지 여부와 관계없이 자신도 영향을 받았을 수 있다고 간주하라는 것이었다.​​​ 

AI가 위협 수준을 높이는 이유

​​이번 사건의 파장은 기본적인 데이터만으로 짐작할 수 있는 수준보다 크다. AI 기반 개인화를 도입하는 소매업체들은 행동, 거래, 인구통계 데이터를 점점 더 하나의 고객 프로필로 통합하고 있다. ​이러한 프로필은 추천의 정확도를 높이고 마케팅의 관련성을 강화한다. 하지만 공격자의 손에 들어가면 사기에도 똑같이 활용될 수 있다. ​​     ​​ 

​​​​공격자들은 더 이상 맞춤형 유인 메시지를 직접 작성할 필요가 없다. 7,700명이 넘는 참가자를 대상으로 한 현장 실험에서 BIFOLD와 TU Berlin 연구진은 Inria 및 Ruhr University Bochum과 함께 다음과 같은 결과를 확인했다. 개인화된 AI 생성 피싱의 클릭률은 일반적인 피싱보다 2.4배 높았다​.​​ 

​​​ASOS 사건의 중심에 있는 소통 도구에도 같은 수준의 관심을 기울여야 한다. 고객 참여 플랫폼은 고객을 분류하고 맞춤형 메시지를 만들어 소매업체를 대신해 발송하며, 고객 데이터와 모든 고객에게 한 번에 연락할 수단을 모두 보유한다. 이런 조합만으로도 해당 플랫폼은 그 자체로 공격 대상이 된다. ​​ 

대중을 상대로 한 갈취

갈취 조직은 보통 피해자에게 비공개 메시지를 보내는 것으로 시작한다. 협상은 비밀리에 진행되며, 침해 사실이 공개되더라도 대중은 유출 사이트나 규제 기관 제출 자료를 통해서야 알게 된다. 

ASOS를 공격한 이들은 순서를 뒤집었다. ASOS가 어떤 사실도 확인하기 전에 고객들에게 먼저 알리고 언론과 투자자들이 지켜보도록 했다. 공격 집단이 데이터를 전혀 갖고 있지 않았더라도 푸시 알림 하나만으로 ASOS에 시장 압박을 가하고 공개적으로 대응할 시간을 줄였다. 이 지연은 고객의 의구심을 키우고 ASOS에 시장 압박을 가했다. 

채널 선택은 피해를 더 키운다. 고객은 발신자를 신뢰하기 때문에 앱 알림 수신에 동의한다. 보안 인식 교육에서는 발신자 주소를 확인하거나 링크 위에 마우스를 올려 보라고 가르치지만, 본인 휴대전화의 공식 앱을 통해 전달된 메시지는 이런 확인 절차를 통과한다. 이 채널이 악용될 때마다 소매업체가 보내야 하는 정당한 메시지, 향후 침해 사고 알림을 포함한 메시지에 대한 신뢰도는 떨어진다. 

고객에게 미치는 영향

가장 가능성이 큰 후속 위협은 피싱이다. 범죄자들은 침해 사고에 관한 관심을 악용해 가짜 환불 제안, 비밀번호 재설정 요청, 침해 알림 이메일을 보내고, 이를 통해 로그인 정보를 탈취하는 페이지로 유도하곤 한다. ASOS 고객은 이번 사건과 관련해 예상치 못한 메시지를 받으면 의심하고, 텔레그램 링크를 피하며, 앱이나 웹사이트를 직접 열어 계정을 확인해야 한다. 재사용 중인 비밀번호를 바꾸고 2단계 인증을 켜면 가장 흔한 계정 탈취 시도를 시작 단계에서 차단할 수 있다. 

소매업체에 미치는 영향

공격자들은 ASOS 웹사이트나 앱을 통해 침투하지 않았습니다. 직원의 로그인 정보를 이용했고, 그 정보에 연결된 서드파티 도구를 통해 침투했습니다. 소매업체의 공격 표면에는 기업 및 개발 네트워크, 고객 데이터 플랫폼, SaaS 애플리케이션, 서비스 계정, 커뮤니케이션 도구와 이러한 환경에 연결된 공급업체가 포함됩니다. 

모든 조직은 공급업체의 보안 관행에 의존하므로, 실사는 지속적으로 수행해야 합니다. 공급업체와의 통합은 조직의 공격 표면을 넓히고 추가 위험을 초래할 수 있으므로, 각 통합을 신중하게 검토하고 정기적으로 재평가해야 합니다. 공급업체 선정 시점은 물론 그 이후에도 정기적으로 위험 평가를 실시하고, 어떤 공급업체 계정이 고객에게 직접 접근할 수 있는지 명확히 기록해야 합니다. 이는 한 번으로 끝나는 프로젝트가 아니라 지속적인 노력입니다. 정기적인 검토를 통해 현황을 최신 상태로 유지하고 새로운 위험을 초래할 수 있는 변화를 파악할 수 있습니다. 

이러한 검토에는 고객 커뮤니케이션 채널에 누가 접근할 수 있는지도 포함해야 합니다. 자체 앱의 푸시 알림 서비스, SMS 게이트웨이, 이메일 플랫폼은 몇 초 만에 수백만 명에게 메시지를 전달할 수 있으므로, 소매업체는 어떤 공급업체 계정이 고객에게 직접 메시지를 보낼 수 있는지 명확히 기록해야 합니다. 해당 계정은 피싱에 강한 MFA로 보호하고, 접근 권한을 신속하게 회수할 수 있는 절차를 마련해 실제로 작동하는지 테스트해야 합니다. 이러한 채널을 계속 통제하면 문제가 발생했을 때 소매업체가 신뢰할 수 있는 방식으로 고객에게 연락해 사실관계를 바로잡을 수도 있습니다.  

규제도 같은 방향으로 나아가고 있습니다. 2026년 9월 11일부터 EU 사이버 복원력법(EU Cyber Resilience Act)에 따라 디지털 요소가 포함된 제품의 제조업체는 실제로 악용되고 있는 취약점과 심각한 사고를 24시간 이내에 ENISA와 각국 CSIRT에 보고해야 합니다. 이 요건에 따라 이제 소매업체는 자사가 배포하는 앱의 보안에 책임을 져야 하지만, 해당 앱을 통해 메시지를 보내는 플랫폼은 규제가 적용되지 않는 공급업체가 운영하는 경우가 많습니다. 

​​ASOS가 신뢰를 회복하려면 고객의 데이터뿐 아니라 고객에게 연락하는 데 사용하는 채널도 안전하다는 점을 보여줘야 합니다. 다른 소매업체에도 이는 공급업체와의 관계 전반을 살펴보고, 각 공급업체가 무엇에 접근할 수 있는지 파악하며, 그 접근 권한이 악용될 경우 신속하게 대응할 수 있는지 확인해야 한다는 엄중한 경고입니다.​