[해외보안뉴스] 마케팅 플랫폼 Brevo 공급망 공격 발생… 고객 사이트에 악성 ClickFix 스크립트 유포
· 2026-09-19 20:00
· 조회 28
· 원문 ↗
올인원 CRM 및 마케팅 플랫폼인 Brevo가 탈취된 Cloudflare API 키를 악용한 공급망 공격을 받았습니다. 공격자들은 유출된 API 키를 사용해 Brevo의 공식 웹사이트와 고객사 웹사이트에 내장된 JavaScript 파일에 악성 'ClickFix' 스크립트를 주입한 것으로 확인되었습니다. ClickFix는 사용자에게 웹 브라우저나 시스템 오류가 발생한 것처럼 속여, 문제 해결을 위해 제시된 악성 명령어(PowerShell 등)를 직접 실행하도록 유도하는 사회공학적 기법입니다.
이번 공격의 영향 범위는 Brevo의 챗봇, 추적 코드, 마케팅 양식 스크립트 등을 자사 웹사이트에 통합하여 사용하던 다수의 고객사 및 해당 웹사이트 방문자들입니다. 웹사이트 방문자들에게 가짜 오류 팝업창을 띄워 악성 파워셸(PowerShell) 코드를 클립보드에 복사하고 실행하도록 유도했으며, 이를 통해 정보 탈취형 악성코드(InfoStealer) 등이 유포되어 추가적인 피해를 발생시켰습니다.
Brevo 측은 침해 사실을 인지한 즉시 탈취된 Cloudflare API 키를 무효화하고 변조된 JavaScript 파일들을 모두 정상 복구했다고 밝혔습니다. Brevo 서비스를 이용 중인 기업은 유출 가능성이 있는 API 키를 재발급받고, 자사 웹사이트의 외부 스크립트 로딩 내역을 점검해야 합니다. 또한 외부 스크립트 변조 피해를 줄이기 위해 하부 자원 무결성(SRI, Subresource Integrity) 검증을 도입하는 것이 권장되며, 일반 사용자는 브라우저 오류 창에서 무작위 코드를 복사하여 터미널에 붙여넣도록 유도하는 지시를 절대 따르지 않아야 합니다.
Cloudflare API 키 유출이 외부 삽입용 JS 파일 오염으로 이어진 전형적인 공급망 공격 사례입니다.
고객사(개발사) 입장에서는 외부 스크립트 로드 시 SRI(Subresource Integrity) 검증과 엄격한 CSP(Content Security Policy)를 적용해 변조된 스크립트의 실행을 차단하는 방어막이 필요합니다.
또한 인프라 관점에서도 CDN 제어용 API 키는 최소 권한 원칙(Least Privilege)에 따라 스코프를 세분화하고, IP 제한 및 주기적인 로테이션을 자동화해야 합니다.
탈취된 Cloudflare API 키를 악용해 서드파티 자바스크립트를 변조함으로써, 단번에 수많은 고객사로 파급력을 확산시킨 전형적인 공급망 공격입니다. 신뢰받는 스크립트 도메인을 빌려 사회 공학적 기법인 ClickFix를 주입했기 때문에 일반적인 클라이언트 측 보안 솔루션과 사용자의 의심을 쉽게 우회할 수 있었습니다. API 키 권한의 엄격한 관리와 외부 자바스크립트에 대한 무결성 검증(SRI)이 부재할 때 공격자에게 얼마나 강력한 공격 타깃이 되는지 잘 보여주는 사례입니다.
이번 사건은 외부 써드파티의 API 키 유출이 고객사 웹사이트를 노린 공급망 위협으로 직결될 수 있음을 보여주는 심각한 리스크 사례입니다.
조직 차원에서 외부 자바스크립트 스크립트의 무단 변조를 차단하기 위해 콘텐츠 보안 정책(CSP) 적용과 스크립트 무결성 검증을 즉시 강화해야 합니다.
또한, 내부 클라우드 API 키 관리가 '최소 권한 원칙'과 '주기적 로테이션 정책'에 따라 거버넌스 있게 통제되고 있는지 전수 점검하겠습니다.