[해외보안뉴스] 영국 패션 기업 ASOS 해킹 사고로 드러난 고객용 SaaS 시스템의 보안 허점
· 2026-10-10 20:00
· 조회 22
· 원문 ↗
영국의 대형 온라인 패션 리테일 기업 ASOS에서 발생한 보안 침해 사고는 대고객 서비스용 SaaS(서비스형 소프트웨어) 환경의 보안 취약성이 기업 전체 네트워크로 어떻게 확산될 수 있는지를 명확히 보여줍니다. 분석에 따르면, 이번 공격은 단 하나의 계정(Identity) 정보가 탈취되는 것에서 시작되었으며, 공격자는 이를 발판 삼아 기업 내부망 깊숙이 침투하는 데 성공했습니다.
영향 범위 측면에서 볼 때, 고객과 직접 맞닿아 있는 SaaS 애플리케이션은 종종 기업의 핵심 내부 데이터베이스 및 인프라와 연결되어 있습니다. 공격자는 탈취한 단일 계정의 권한을 이용해 측면 이동(Lateral Movement)을 감행했으며, 이는 단순한 외부 서비스 마비에 그치지 않고 사내 핵심 시스템과 고객 데이터 전반을 잠재적 위험에 노출시키는 결과로 이어졌습니다.
이러한 위협에 대응하기 위해서는 외부 SaaS 환경과 사내 네트워크 간의 연결 지점에 대한 엄격한 계정 및 접근 관리(IAM) 체계 재정비가 시급합니다. 모든 사용자 및 서비스 계정에 다중 요소 인증(MFA)을 필수적으로 적용하고 최소 권한 원칙(Principle of Least Privilege)을 철저히 준수해야 합니다. 아울러 제로 트러스트(Zero Trust) 보안 모델을 기반으로 계정 이상 행동을 실시간으로 감지하고 차단하는 모니터링 시스템을 강화해야 합니다.
♥ 추천 0
단 하나의 계정 탈취가 내부망 깊숙이 침투하는 결과로 이어진 것은 '경계 기반 보안'의 한계와 제로 트러스트 아키텍처의 부재를 적나라하게 보여줍니다.
개발 관점에서는 SaaS 및 외부 연동 시 최소 권한 원칙(PoLP)을 엄격히 적용하고, IAM 계정별 세션 토큰의 스코프(Scope)를 최대한 좁게 설계해야 합니다.
특히 서비스 간 미세 격리(Microsegmentation)와 애플리케이션 레벨의 지속적인 인가 검증 로직을 구현해 단일 접점 침해 시의 피해 파급력(Blast Radius)을 최소화하는 아키텍처 재설계가 시급합니다.
이번 ASOS 사건은 단 하나의 유효한 계정(Identity) 탈취가 어떻게 기업 내부망 깊숙이 침투하는 피보팅(Pivoting) 통로가 되는지 잘 보여줍니다. 공격자 관점에서 고객 접점 SaaS는 인증 토큰이나 연동된 API 권한만 확보하면 기존의 경계 보안을 완전히 우회하여 수평 이동(Lateral Movement)을 감행하기 최적의 접점입니다. 특히 아이덴티티 기반의 세션 관리와 최소 권한 원칙이 부실할 경우, 초기 자격 증명 확보만으로도 단시간 내에 기업 전체 시스템으로 공격 벡터를 확장할 수 있습니다.
단 하나의 계정 도용이 기업 전체 네트워크의 심각한 침해로 이어질 수 있음을 보여준 경각심을 주는 사례입니다.
고객 접점 SaaS 이용 시 식별(Identity) 관리가 곧 새로운 보안 경계가 되어야 하며, 최소 권한 원칙과 강력한 다중인증(MFA) 정책 재점검이 시급합니다.
조직 관점에서는 제로 트러스트 모델을 기반으로 외부 SaaS와 내부망 간의 접근 통제를 강화하고, 침해 발생 시 피해 파급력(Blast Radius)을 최소화하는 거버넌스 체계를 조속히 마련해야 합니다.