자라 고객 19만명 유출, 뚫린 건 자라가 아니다

자라(Zara)에서
19만 7천명의 고객 정보가 노출됐다.
뚫린 곳은 자라 운영 시스템이 아니다.
외주 데이터베이스다.

4월 15일,
인디텍스(Inditex, 자라 모회사)가
제3자 호스팅 DB에 대한 무단접근을 인지했다.
HIBP(침해된 계정 정보를 모아두는 공개 서비스)가
19만 7천명 분 데이터 유출을 확인했다.

이번 유출에 포함되지 않은 것 :
이름,
주소,
비밀번호,
은행카드 정보,
결제수단 정보.
자라 운영 시스템과 서비스에도 영향이 없다고 발표했다.

그렇다면 무엇이 빠져나간 건가는 회사가 명시하지 않았다.
거래 관련 정보가 담긴 DB라는 설명만 있다.
"결제 정보가 빠졌으니 위험 0"이라는 뜻은 아니다
거래 이력 자체로도 표적 피싱(특정 고객을 노리는 사칭 공격)이 가능하다.

이번 사건의 패턴은 분명하다.
한 회사 보안이 단단해도,
협력사로 흘러간 정보가 새면 결과는
똑같이 그 회사 이름으로 보도된다.
자라 시스템은 무사한데 자라 고객 19만명이 영향을 받는 구조.
보안 업계에서는 이걸
"제3자 데이터 거버넌스"
문제라고 부른다.

본사 SOC(보안관제센터)가 잡지 못하는 영역에 자산이 쌓여 있다.
협력사 DB, SaaS 백오피스, 외주 분석 환경.
보안 예산은 본사에 있고,
데이터는 외부에 있는 비대칭이 그대로 침해 표면이 된다.
협박 주체로 ShinyHunters (유명 해커팀)가 거론된다는 보도가 있다.
같은 그룹이 미국 LMS 캔버스 침해도 했다는 정황 보고.
사실이라면 이 그룹의 표적이
SaaS DB와 협력사 DB로 명확히 잡혀있다는 신호.
리테일/패션 업계는 협력사 의존도가 높다.
비슷한 케이스가 더 나올 가능성이 높다.
본사 SOC가 잡지 못하는 영역의 자산을
어떻게 인벤토리에 올릴지가 다음 라운드의 작업.