[보안뉴스]글로벌 주얼리 브랜드 ‘판도라’, 해킹으로 고객 데이터 노출

내용 요약

판도라가 사이버 공격을 받아 고객들에게 이메일을 발송했으며, 해커는 제3자 플랫폼을 통해 특정 고객 데이터에 무단 접근했다. 이로 인해 피싱 및 계정 탈취와 같은 2차 피해가 우려되며, 전문가들은 의심스러운 이메일에 대한 주의를 당부하고 있다. 해킹 그룹 '스캐터드 스파이더'가 유력 용의자로 지목되고 있다.

핵심 포인트

• 제3자 플랫폼을 통한 공급망 공격: 판도라의 사이버 공격은 제3자 플랫폼을 통해 발생했다.
• 2차 피해 우려: 피싱 및 계정 탈취와 같은 2차 피해가 발생할 수 있다.
• 의심스러운 이메일 주의: 사용자들은 의심스러운 이메일에 대한 경각심을 가져야 한다.
• 해킹 그룹 '스캐터드 스파이더': 유력한 용의자로 지목되고 있다.

기술 세부 내용

1️⃣ 제3자 플랫폼을 통한 공급망 공격 ⛓️

• 정의: 공급망 공격(Supply Chain Attack)은 소프트웨어, 하드웨어 또는 서비스 공급망의 약점을 이용하여 최종 사용자를 공격하는 사이버 공격 유형이다. 공격자는 신뢰할 수 있는 제3자 업체를 통해 시스템에 침투하여 악성 코드를 배포하거나 데이터를 탈취한다.
• 판도라 사례: 판도라는 제3자 플랫폼을 통해 공격을 받았으며, 이는 해당 플랫폼의 보안 취약점을 해커가 이용한 것으로 보인다.
• 위험성:
  • 광범위한 피해: 하나의 취약점을 통해 많은 시스템에 영향을 줄 수 있다.
  • 탐지 어려움: 제3자 업체를 신뢰하기 때문에 공격을 탐지하기 어렵다.
  • 복잡한 대응: 공격 경로가 복잡하여 대응이 어렵다.
• 예방 및 대응:
  • 공급망 보안 평가: 정기적으로 공급망 업체의 보안 상태를 평가한다.
  • 보안 계약: 공급업체와 보안 관련 계약을 체결하여 책임을 명확히 한다.
  • 접근 제어: 제3자 플랫폼에 대한 접근 권한을 최소화한다.
  • 모니터링: 제3자 플랫폼의 활동을 지속적으로 모니터링한다.
  • 사고 대응 계획: 공급망 공격 발생 시 대응 계획을 수립한다.

2️⃣ 피싱 (Phishing)

• 정의: 피싱은 공격자가 신뢰할 수 있는 기관이나 사람을 사칭하여 이메일, 문자 메시지, 전화 등을 통해 개인 정보나 금융 정보를 탈취하는 사기 수법이다.
• 판도라 사례: 판도라의 고객 데이터가 유출됨에 따라, 해커들은 해당 정보를 이용하여 피싱 공격을 시도할 수 있다.
• 유형:
  • 스피어 피싱 (Spear Phishing): 특정 개인이나 조직을 대상으로 하는 맞춤형 피싱 공격
  • 웨일링 (Whaling): 고위 임원이나 경영진을 대상으로 하는 피싱 공격
  • 스미싱 (Smishing): 문자 메시지를 이용한 피싱 공격
  • 파밍 (Pharming): 가짜 웹사이트로 사용자를 유도하여 개인 정보를 탈취하는 공격
• 예방 및 대응:
  • 의심스러운 이메일 주의: 발신인이 불분명하거나 내용이 의심스러운 이메일은 열지 않고 삭제한다.
  • 개인 정보 보호: 개인 정보나 금융 정보를 요구하는 이메일이나 메시지에 응답하지 않는다.
  • URL 확인: 링크된 URL이 실제 웹사이트 주소와 일치하는지 확인한다.
  • 2단계 인증: 계정에 2단계 인증을 설정하여 보안을 강화한다.
  • 보안 소프트웨어: 안티바이러스 및 안티피싱 소프트웨어를 설치하고 최신 상태로 유지한다.

3️⃣ 계정 탈취 (Account Takeover, ATO)

• 정의: 계정 탈취는 공격자가 다른 사람의 사용자 이름과 비밀번호를 알아내어 해당 계정에 무단으로 접근하는 행위이다.
• 판도라 사례: 유출된 고객 데이터에 계정 정보가 포함되어 있다면, 해커들은 해당 정보를 이용하여 고객 계정을 탈취할 수 있다.
• 방법:
  • 자격 증명 스터핑 (Credential Stuffing): 유출된 사용자 이름과 비밀번호 목록을 사용하여 여러 웹사이트에 무작위로 로그인 시도
  • 자격 증명 피싱 (Credential Phishing): 피싱 공격을 통해 사용자 이름과 비밀번호를 탈취
  • 키로깅 (Keylogging): 사용자의 키보드 입력을 기록하여 계정 정보를 탈취
  • 소셜 엔지니어링 (Social Engineering): 사람을 속여 계정 정보를 얻어내는 방법
• 예방 및 대응:
  • 강력한 비밀번호 사용: 복잡하고 예측하기 어려운 비밀번호를 사용하고, 주기적으로 변경한다.
  • 비밀번호 재사용 금지: 여러 웹사이트에서 동일한 비밀번호를 사용하지 않는다.
  • 2단계 인증: 계정에 2단계 인증을 설정하여 보안을 강화한다.
  • 계정 활동 모니터링: 계정 활동 내역을 주기적으로 확인하여 의심스러운 활동을 탐지한다.
  • 보안 소프트웨어: 안티바이러스 및 안티멀웨어 소프트웨어를 설치하고 최신 상태로 유지한다.

4️⃣ 해킹 그룹 '스캐터드 스파이더' (Scattered Spider) ️

• 개요: 스캐터드 스파이더는 금전적 이득을 목적으로 활동하는 것으로 알려진 사이버 범죄 그룹이다. 주로 랜섬웨어 공격, 데이터 유출, 기업 네트워크 침투 등의 활동을 수행한다.
• 특징:
  • 사회 공학적 기법 활용: 전화, 이메일 등을 통해 피해자를 속여 정보를 탈취하는 사회 공학적 기법을 능숙하게 사용한다.
  • 기업 네트워크 침투: 취약한 시스템을 통해 기업 네트워크에 침투하여 데이터를 암호화하거나 유출한다.
  • 랜섬웨어 공격: 기업의 데이터를 암호화하고, 해제를 조건으로 금전을 요구한다.
• 대응:
  • 보안 강화: 시스템 및 네트워크의 보안을 강화하고, 최신 보안 패치를 적용한다.
  • 직원 교육: 사회 공학적 기법에 대한 직원 교육을 강화하여 피해를 예방한다.
  • 침해 사고 대응 계획: 침해 사고 발생 시 신속하게 대응할 수 있도록 계획을 수립한다.
  • 보안 솔루션 도입: 침입 탐지 시스템(IDS), 침입 방지 시스템(IPS), 엔드포인트 탐지 및 대응(EDR) 등 보안 솔루션을 도입하여 위협을 탐지하고 차단한다.

 

출처: http://www.boannews.com/media/view.asp?idx=138568&kind=&sub_kind=