모듈형 수리 가능한 노트북으로 잘 알려진 프레임워크(Framework)가 최근 모든 고객의 개인 정보가 유출되는 사고를 겪었다고 공식 발표했습니다. 이번 유출로 고객의 이름, 이메일 주소, 전화번호, 실제 주소 등이 해커의 손에 넘어갔지만, 다행히 결제 정보는 포함되지 않았습니다.
프레임워크는 이번 데이터 유출의 원인이 비즈니스 인텔리전스(BI) 솔루션을 제공하는 협력사 메타베이스(Metabase)의 시스템에서 발생한 상위 사이버 공격 때문이라고 설명했습니다. 메타베이스는 자사 웹사이트를 통해 알려지지 않은 보안 취약점, 즉 제로데이(zero-day) 공격으로 해커가 클라우드 서버에 저장된 고객 데이터베이스에 접근할 수 있었다고 밝혔습니다. 이로 인해 프레임워크의 클라우드 인스턴스(cloud instance) 또한 영향을 받아 고객 정보가 유출된 것으로 확인되었습니다.
이번 사건은 기업이 외부 서비스에 의존할 때 발생할 수 있는 공급망 공격(supply chain attack)의 위험성을 다시 한번 상기시킵니다. 아무리 자체 보안을 강화하더라도 협력사의 취약점이 전체 시스템의 보안을 위협할 수 있다는 점을 보여주는 사례입니다. 사용자 입장에서는 개인 정보 유출에 대한 경각심을 높이고, 기업들은 외부 서비스 도입 시 보안 감사 및 계약 조항을 더욱 면밀히 검토해야 할 필요성이 커졌습니다.