알리안츠 생명의 CRM 공급업체 접점에서 고객 140만 명 대부분의 정보 노출

2025년 7월 16일, 공격자는 사회공학 수법을 이용해 알리안츠 생명보험 북미법인이 사용하는 제3자 클라우드 기반 고객관계관리(CRM) 시스템에 접근했다. 회사의 보험계약 관리 시스템에는 접근하지 않았다.

그러나 이러한 구분이 고객을 보호하지는 못했다. 알리안츠 생명은 미국 고객 140만 명 중 대다수의 개인식별정보와 함께 금융 전문가 및 일부 직원의 데이터가 노출되었다고 밝혔다.

회사는 사건을 통제하고 완화했으며 FBI에 신고하고 영향을 받은 사람들에게 연락하기 시작했다고 말했다. CRM 제공업체의 이름, 정확한 피해자 수, 유출된 개인정보의 정확한 범주는 밝히지 않았다.

이번 실패는 경계 설정의 실수였다. 고객 데이터가 영업 플랫폼으로 옮겨져 있었기 때문에, 핵심 시스템 침해가 없더라도 사회공학적 침해가 고객 기반 사고로 이어질 수 있었다.

이번 침해는 핵심 시스템이 아닌 영업 플랫폼에서 발생했지만, 데이터 사본은 실제였다. 공급업체 워크플로를 핵심 시스템처럼 안전하게 관리해야 한다.

제3자 CRM에 있는 고객 데이터는 핵심 보험계약 시스템과 동일한 개인정보 위험을 지녔지만 공개된 통제 수준은 더 약했다

공급업체 접근 권한이 운영 데이터의 경계가 되었기 때문에, 보험계약 시스템 밖에서 이루어진 사회공학 공격으로도 고객이 노출되었다

회사는 자사 네트워크가 침해되지 않았다고 말할 수 있었지만, 데이터 사본이 실제였기 때문에 고객은 여전히 노출 위험에 직면했다

공개 발표에서 핵심 사실을 밝히지 않아 기술적 침해 이후 평판 손상이 커졌다

CRM에 있는 고객 데이터 사본도 여전히 고객 데이터다. 공급업체 워크플로를 핵심 시스템처럼 안전하게 관리해야 한다.