리바이 스트라우스, 직원 3명 속아 사회공학 공격에 뚫렸다

리바이 스트라우스, 직원 3명 속아 사회공학 공격에 뚫렸다 / AI 생성 일러스트(삽화)

청바지 브랜드로 유명한 리바이 스트라우스(Levi Strauss & Co.)가 최근 사이버 공격을 당해 회사 내부 정보가 유출됐다고 밝혔다. 공격자는 직원 3명을 대상으로 한 소셜엔지니어링(사회공학, 사람의 심리를 이용해 접근권한을 얻어내는 해킹 기법)으로 사내 컴퓨터에 접근했다. 리바이 스트라우스는 미국 증권거래위원회(SEC)에 제출한 규제 공시를 통해 이 사실을 공개했다. 회사 측은 고객 데이터는 영향을 받지 않았고 매장·전자상거래 운영에도 차질이 없었다고 설명했다. 이번 사고는 최근 몇 주간 미국 내 200여개 기업을 겨냥한 대규모 보이스피싱 공격 흐름의 일부로 파악된다.

직원 3명 속인 사회공학 공격, 어떻게 뚫렸나

리바이 스트라우스가 SEC에 제출한 공시에 따르면 신원이 확인되지 않은 제3자가 사회공학 기법으로 직원 3명을 속여 이들의 회사 지급 컴퓨터에 무단 접근했다. 회사는 이번 사건을 인지한 직후 대응 절차를 가동해 접근을 차단하는 봉쇄 조치를 취하고 외부 사이버보안 전문가를 투입해 조사에 착수했다.

조사 초기 결과 공격자가 특정 기업 정보에 접근해 이를 빼내 간(엑스필트레이션) 것으로 확인됐다고 리바이 스트라우스는 밝혔다. 회사는 “신속한 대응으로 무단 접근을 차단하고 종료했으며 소비자 데이터는 영향을 받지 않았다”고 공시했다. 사업 운영에도 중단이 없었다는 설명이다. 블리핑컴퓨터(BleepingComputer)에 따르면 리바이 스트라우스는 직원 1만9000명, 연간 매출 63억 달러 규모의 501 라인 청바지로 유명한 기업으로, 전 세계에 매장 3300여곳을 운영하고 있다. 조사는 현재도 진행 중이며 회사는 필요에 따라 영향을 받은 당사자와 관계 당국에 추가 통지를 제공할 계획이라고 밝혔다.

5주간 200여개 기업 노린 보이스피싱 공격의 일부 / AI 생성 이미지

5주간 200여개 기업 노린 보이스피싱 공격의 일부

이번 사고는 리바이 스트라우스만의 문제가 아니다. 로이터(Reuters)가 검토한 구글 및 인터넷 인텔리전스 데이터에 따르면 몸값을 노리는 해커들이 최근 한 달간 미국의 주요 금융기관을 포함한 수십 개 기업을 표적으로 삼았다. 이 데이터는 지난 5주간 공격자들이 200여개 기업을 겨냥해 디지털 트랩(가짜 접속 환경)을 구축했으며 리바이 스트라우스도 여기에 포함됐다고 보여준다. 이들 공격자는 전화를 이용해 피해자를 속이는 보이스피싱 방식을 주로 활용한 것으로 파악됐다.

블리핑컴퓨터는 이번 공격을 벌였다고 자처하는 위협 행위자를 온라인에서 확인하지 못했다고 전했다. 다만 일부 매체는 이 사건을 UNC6671과 연관지었는데, 구글 위협 인텔리전스 그룹(GTIG)은 UNC6671을 최근 수백 개 조직을 겨냥한 보이스피싱 공격 물결과 연결된 조직으로 지목한 바 있다고 블리핑컴퓨터는 설명했다. 리바이 스트라우스 측이 고객 데이터에는 영향이 없었다고 밝혔지만 블리핑컴퓨터는 리바이 스트라우스 쇼핑 계정 보유자들에게 의심스러운 활동이 있는지 주시하고 발견 시 즉시 회사에 신고할 것을 권고했다.

2년 새 두 번째 보안 사고, 공급망까지 흔들려

리바이 스트라우스에게 이번 사고는 처음이 아니다. 인포시큐리티 매거진(Infosecurity Magazine)에 따르면 리바이 스트라우스는 2024년 6월 levis.com에 대한 크리덴셜 스터핑(유출된 계정정보를 대량으로 대입해 로그인을 시도하는 공격) 공격을 당해 고객 계정 7만2231개가 침해된 바 있다. 당시 사고로 이름, 이메일 주소, 주문 내역, 카드 정보 일부가 노출됐다. 이번 사고는 고객 접점 시스템이 아닌 직원을 표적으로 삼았다는 점에서 앞선 사고와 성격이 다르다.

리바이 스트라우스의 보안 문제는 공급망까지 번진 적도 있다. 더 스택(The Stack) 보도에 따르면 2024년 10월 실적 발표 콜에서 최고경영자 미셸 개스(Michelle Gass)는 주요 도매 파트너사에서 발생한 사이버보안 침해가 제품 배송에 차질을 일으켰고 멕시코 지역 분기 실적 하락에 영향을 줬다고 밝혔다. 자체 매장부터 협력업체 관계까지 디지털 노출 지점이 넓어지고 있다는 점을 보여주는 사례다.

왜 이렇게 빨리 공시했나…규제 강화가 배경

리바이 스트라우스가 이번 사고를 비교적 신속히 공개한 배경에는 강화된 SEC 규정이 있다. 헌턴 앤드루스 커스(Hunton Andrews Kurth LLP)에 따르면 2023년 12월부터 시행된 SEC 규정상 상장기업은 중대한 사이버보안 침해를 인지한 뒤 영업일 기준 4일 이내에 8-K 양식으로 공시해야 한다. 2024년 5월 나온 SEC 실무 지침은 중대하지 않거나 아직 확정되지 않은 사고라도 일반 업데이트 형태로 조기에 알릴 것을 권장하고 있다. 리바이 스트라우스가 재무적으로 중대하지 않다고 판단한 사고임에도 신속히 공시에 나선 배경으로 풀이된다.

이 같은 신속 공시 흐름은 리바이 스트라우스에 국한되지 않는다. 별개로 100여개 기업 환경을 겨냥한 스노플레이크(Snowflake) 연계 사건에서도 클라우드 자격증명을 탈취하는 사회공학 공격이 활용된 것으로 알려졌다. 직원을 노린 사회공학 공격은 올해 들어 공격자들이 선호하는 침투 경로로 자리잡았다는 지적도 나온다. 리바이 스트라우스는 지난달 프리미엄 데님 제품에 대한 고소득층 소비자 수요가 견조할 것으로 보고 연간 순매출 전망치를 상향한 바 있다. 이번 사고가 재무적으로 중대한 영향을 미치지 않을 것이라는 회사 설명과 맞물려, 실적 측면에서의 파장은 제한적일 것으로 관측된다.