[해외보안뉴스] 패션 리테일 기업 ASOS, 사회공학적 공격과 계정 탈취로 인한 데이터 유출 확인
· 2026-10-09 02:00
· 조회 18
· 원문 ↗
글로벌 온라인 패션 쇼핑몰 ASOS가 최근 발생한 사이버 보안 침해 사고에 대해 피해 고객들에게 관련 사실을 안내하고 있습니다. 조사 결과 이번 데이터 유출 사고는 해커가 내부 직원을 대상으로 시도한 사회공학적 공격(Social Engineering)과 이를 통한 계정 정보 탈취에서 비롯된 것으로 확인되었습니다. 공격자는 탈취한 자격 증명을 이용해 ASOS의 내부 시스템에 무단 접근하여 일부 고객 정보에 접근했습니다.
이번 사고로 인해 외부로 유출된 개인정보에는 고객의 이름, 이메일 주소, 배송지 주소, 전화번호 등 일부 개인 식별 정보가 포함된 것으로 파악되었습니다. 다만, 결제 카드 정보나 계정 비밀번호와 같은 민감한 금융 데이터는 안전하게 보호된 것으로 알려졌습니다. 회사 측은 침해 규모를 면밀히 조사하고 있으며, 영향을 받은 고객들에게 순차적으로 통지하고 있습니다.
ASOS는 사건 인지 즉시 무단 접근을 차단하고 당국에 관련 사실을 신고했으며, 외부 보안 전문가들과 협력하여 시스템 강화 조치를 취했습니다. ASOS 이용자는 동일한 자격 증명을 사용하는 다른 사이트의 비밀번호를 변경하고, ASOS를 사칭한 피싱 이메일이나 스미싱 문자에 주의해야 합니다. 또한 기업들은 임직원 대상의 보안 인식 교육을 주기적으로 실시하고 다중 요소 인증(MFA)을 활성화하여 계정 탈취로 인한 공격 위험을 최소화해야 합니다.
♥ 추천 0
결국 보안의 가장 약한 고리인 '인적 요인'이 뚫린 사례이지만, 개발/아키텍처 관점에서는 시스템이 이를 상쇄할 수 있어야 합니다.
단순 MFA를 넘어 피싱이 불가능한 FIDO2/패스키 도입과 함께, 내부 시스템 접근에는 제로 트러스트(Zero Trust) 및 최소 권한 원칙(Least Privilege)을 철저히 적용해야 합니다.
특히 탈취된 자격 증명으로 접근하더라도 이상 징후 탐지(Anomaly Detection) 시스템과 API 게이트웨이 단에서 즉각적인 세션 차단이 이루어지도록 백엔드 방어 로직을 강화해야 합니다.
사회공학적 기법을 통한 계정 탈취는 별도의 제로데이 취약점 없이도 기존 경계 보안을 완벽히 무력화하는 가장 치명적인 초기 침투(Initial Access) 경로입니다. 탈취한 정상 권한을 활용하면 WAF나 탐지 시스템을 우회하여 내부 PII 데이터베이스 및 백엔드 API에 손쉽게 접근할 수 있습니다. 피싱 저항성이 있는 MFA(FIDO2) 미적용과 권한 검증 누수는 공격자에게 대규모 데이터 유출로 이어지는 최적의 공격 연쇄(Attack Chain)를 제공합니다.
이번 ASOS 사례는 아무리 강력한 기술적 보안 시스템을 갖추더라도 ‘사람’과 ‘계정’이 공격의 주요 통로가 될 수 있음을 다시 한번 경고합니다.
보안 정책 측면에서 피싱 저항성이 있는 다중인증(MFA) 도입을 의무화하고, 임직원 대상의 사회공학적 공격 대응 훈련을 상시화하여 인적 리스크를 최우선으로 관리해야 합니다.
거버넌스 관점에서는 제로 트러스트(Zero Trust) 원칙에 따라 최소 권한 정책을 엄격히 적용하고 계정 모니터링 체계를 재점검해야 합니다.