[데일리시큐]샤넬, 사이버공격 당해 데이터 유출 발생…최근 명품 브랜드 대상 공격 확산

내용 요약

샤넬이 Salesforce CRM 플랫폼을 악용한 ShinyHunters 해킹 조직의 사이버 공격으로 미국 고객 정보 유출 피해를 입었습니다. 유출된 정보는 고객센터 문의를 통해 수집된 개인정보입니다.

핵심 포인트

• 공격 대상: 프랑스 명품 브랜드 샤넬(Chanel)의 미국 고객 정보
• 공격 방식: Salesforce CRM 플랫폼 악용
• 공격 주체: 해킹 조직 ShinyHunters (추정)
• 유출 시점: 2024년 7월 25일경 이상 징후 감지 후 확인
• 유출 정보: 고객센터 문의를 통해 수집된 미국 고객 개인 정보

기술 세부 내용

1️⃣ Salesforce CRM 플랫폼

• 정의: Salesforce는 클라우드 기반의 CRM(Customer Relationship Management, 고객 관계 관리) 플랫폼입니다. 기업이 고객과의 상호 작용을 관리하고 분석하여 고객 관계를 개선하고 유지할 수 있도록 지원합니다.
• 기능:
  • Sales Cloud: 영업 프로세스 자동화, 리드 관리, 기회 관리, 예측 분석 등 영업 활동 지원
  • Service Cloud: 고객 서비스 및 지원, 사례 관리, 셀프 서비스 포털 등 고객 서비스 효율성 향상
  • Marketing Cloud: 이메일 마케팅, 소셜 미디어 마케팅, 광고 관리 등 마케팅 캠페인 최적화
  • Commerce Cloud: 온라인 상거래 플랫폼, 주문 관리, 상품 관리 등 전자상거래 운영 지원
  • Analytics Cloud: 데이터 시각화, 보고서 생성, 예측 분석 등 데이터 기반 의사 결정 지원
• 보안: Salesforce는 데이터 암호화, 접근 제어, 감사 로깅 등 다양한 보안 기능을 제공하지만, 설정 미흡이나 사용자 계정 관리 소홀 등으로 인해 보안 취약점이 발생할 수 있습니다.

2️⃣ ShinyHunters

• 정의: ShinyHunters는 데이터 유출 및 판매를 전문으로 하는 해킹 조직입니다. 주로 웹 애플리케이션의 취약점을 악용하여 기업의 데이터베이스에 침투하고, 유출된 정보를 다크 웹(Dark Web) 등에서 판매합니다.
• 활동:
  • 대규모 데이터 유출 사고를 일으키고, 유출된 정보를 공개하거나 판매
  • 다른 해킹 조직과 협력하여 공격을 수행하기도 함
  • 주로 이커머스, 엔터테인먼트, 게임, 소프트웨어 등 다양한 분야의 기업을 공격 대상으로 삼음
• 공격 방식:
  • SQL Injection: SQL 쿼리 삽입을 통해 데이터베이스에 접근
  • Credential Stuffing: 유출된 계정 정보를 이용하여 다른 서비스에 무단 로그인 시도
  • API 취약점 악용: API 엔드포인트의 보안 취약점을 이용하여 데이터 유출
  • Zero-day Exploit: 아직 패치되지 않은 소프트웨어의 취약점을 이용한 공격

3️⃣ CRM(Customer Relationship Management)

• 정의: CRM은 기업이 고객과의 모든 상호 작용을 관리하고 분석하여 고객 만족도와 충성도를 높이는 전략입니다.
• 구성 요소:
  • 고객 데이터: 고객의 개인 정보, 구매 내역, 문의 내역, 선호도 등
  • CRM 소프트웨어: 고객 데이터 관리, 영업 자동화, 마케팅 자동화, 고객 서비스 등
  • CRM 전략: 고객 세분화, 타겟 마케팅, 고객 맞춤 서비스 제공 등
• 보안 중요성: CRM 시스템은 고객의 민감한 개인 정보를 포함하고 있기 때문에 철저한 보안이 필요합니다. 데이터 유출 시 고객 신뢰도 하락, 법적 책임 발생 등 심각한 피해를 초래할 수 있습니다.

4️⃣ 데이터 유출 (Data Breach)

• 정의: 데이터 유출은 권한이 없는 개인이나 조직이 기업 또는 기관의 민감한 데이터에 접근하여 정보를 획득하는 사건을 의미합니다.
• 원인:
  • 해킹 공격: 악성 코드 감염, 시스템 취약점 악용 등
  • 내부자 위협: 직원의 고의적인 데이터 유출 또는 부주의한 보안 관리
  • 물리적 보안 침해: 데이터 저장 장치 분실 또는 도난
  • 보안 설정 오류: 접근 권한 관리 미흡, 암호화 미적용 등
• 영향:
  • 금전적 손실: 소송 비용, 벌금, 고객 보상, 시스템 복구 비용 등
  • 평판 손상: 고객 신뢰도 하락, 브랜드 이미지 손상 등
  • 법적 책임: 개인 정보 보호 법규 위반으로 인한 처벌
  • 운영 중단: 시스템 마비, 데이터 손실로 인한 업무 차질

 

출처: https://www.dailysecu.com/news/articleView.html?idxno=168574