미스터리 공격자는 1년 동안 Salesforce 및 ServiceNow 포털을 해킹했습니다.
(theregister.com)
미스터리 공격자 'City-Forum'이 Salesforce와 ServiceNow의 과도한 권한을 가진 게스트 계정을 악용해 1년 넘게 전 세계 기업들의 데이터를 탈취하고 있어, 플랫폼 취약점이 아닌 설정 오류에 의한 보안 위협에 대한 경각심을 일깨우고 있습니다.
이 글의 핵심 포인트
- 1'City-Forum'이라 불리는 공격자가 1년 이상 Salesforce 및 ServiceNow 포털을 대상으로 데이터 탈취를 지속함
- 2플랫폼 자체의 취약점이 아닌, 과도한 권한이 부여된 게스트 계정(over-permissioned accounts)을 타겟으로 함
- 3공격자는 GraphQL 레이어와 서비스 포털 검색 엔드포인트를 활용하는 독자적인 맞춤형 도구를 사용함
- 4금융, 통신, 공공기관 등 전 세계 다양한 산업군의 기업들이 공격 대상에 포함됨
- 5공격자는 게스트 계정의 자가 등록(self-registration) 가능 여부를 확인하여 권한 상승을 시도함
이 글에 대한 공공지능 분석
왜 중요한가?
보안 사고의 원인이 플랫폼 자체의 버그가 아닌 '사용자의 잘못된 설정'에 있다는 점이 핵심입니다. 기업들이 편의를 위해 열어둔 게스트 접근 권한이 자동화된 공격 도구에 의해 데이터 유출의 직접적인 통로가 될 수 있음을 보여줍니다.
어떤 배경과 맥락이 있나?
Salesforce와 ServiceNow는 글로벌 엔터프라이즈 시장의 핵심 SaaS 플랫폼입니다. 최근 클라우드 전환 가속화로 인해 외부 파트너와의 협업을 위한 게스트 계정 사용이 늘어났으나, 이에 따른 권한 관리(IAM)의 복잡성이 증가하며 보안 사각지대가 발생하고 있습니다.
업계에 어떤 영향을 주나?
SaaS를 활용하는 모든 기업은 플랫폼의 기능적 무결성뿐만 아니라, 내부적인 공유 규칙과 데이터 접근 제어 설정을 전수 조사해야 합니다. 특히 자동화된 스캐닝 도구를 사용하는 고도화된 공격자에 대비해 '최소 권한 원칙'을 재정립하는 것이 필수적입니다.
한국 시장에 어떤 시사점이 있나?
글로벌 SaaS 도입이 급증하는 한국 스타트업과 엔터프라이즈 기업들에게도 동일한 위협이 적용됩니다. 특히 고객 데이터를 다루는 핀테크나 의료 분야 기업들은 외부 파트너와의 협업용 계정 권한을 정기적으로 감사하여 데이터 노출 리스크를 차단해야 합니다.
이 글에 대한 큐레이터 의견
이번 사건은 '보안은 플랫폼의 책임이 아니라 사용자의 설정 책임'이라는 냉혹한 진실을 다시 한번 상기시켰습니다. 공격자는 플랫폼의 취약점을 찾는 대신, 관리자가 실수로 열어둔 문(over-permissioned accounts)을 찾아내는 데 집중했습니다. 이는 보안 인프라 구축에 막대한 비용을 들이더라도, 정작 기본적인 권한 설정 하나를 놓치면 모든 노력이 수포로 돌아갈 수 있음을 의미합니다.
물론 기업 입장에서 모든 데이터 접근을 엄격히 통제하면 협업 효율성이 저하되는 트레이드오프가 발생할 수 있습니다. 지나친 보안은 비즈니스 속도를 늦추는 장애물이 될 수 있기 때문입니다. 그러나 이번 사례처럼 자동화된 도구를 사용하는 고도화된 공격자 앞에서는 '편의성'보다 '검증된 접근 제어'가 우선되어야 합니다. 스타트업 창업자들은 서비스 확장 시 데이터 공유 기능을 설계할 때, 기능 구현만큼이나 권한 분리(Isolation)와 감사 로그 모니터링을 초기 아키텍처 단계부터 고려해야 합니다.
관련 뉴스
댓글
아직 댓글이 없습니다. 첫 댓글을 남겨보세요.