해커들이 에어컨 업체를 통해 타깃에 침입해 4천만 장의 카드를 훔쳤다

2013년 연말 쇼핑 시즌, 소매업체 타깃은 역사상 가장 큰 데이터 유출 사고 중 하나를 겪었다. 공격자들은 타깃 자체의 방어 체계를 직접 뚫지 않고, 타깃의 난방 및 에어컨 시스템을 정비하던 제3자 업체로부터 자격 증명을 훔쳐 접근했다. 그 업체의 접근 권한을 통해 공격자들은 타깃의 네트워크로 침투했다.

일단 내부에 들어온 공격자들은 타깃의 판매 시점(POS) 시스템에 악성코드를 설치하고 약 4천만 명 고객의 신용카드 및 직불카드 번호와 약 7천만 명의 개인 정보(이름, 주소, 이메일)를 훔쳤다. 타깃에는 침입을 탐지한 보안 도구가 있었음에도 경보가 조치되지 않아, 유출 사고는 수 주 동안 발견되지 않았다.

여파는 심각했다. 타깃은 1,850만 달러의 다주 합의금과 1,000만 달러의 집단 소송 합의금을 지불했고, 수억 달러를 복구에 썼으며, 매출과 평판에 타격을 입었다. 최고경영자 그레그 스타인하펠은 2014년 사임했다. 이 유출 사고는 사이버 보안의 획기적인 사례로 남았다. 공급망의 약한 고리와 무시된 보안 경보가 어떻게 수천만 고객의 데이터를 노출시킬 수 있는지를 보여주는 뼈아픈 예시였다.

이 유출 사고로 타깃은 1,850만 달러와 1,000만 달러의 합의금, 수억 달러의 복구 비용을 부담했고 CEO 자리도 잃었다. 4천만 장의 카드와 7천만 명 고객의 데이터가 도난당한 뒤였다.

공격자들은 제3자 HVAC 업체의 도난당한 자격 증명을 통해 타깃의 네트워크에 들어와 공급망의 약한 고리를 악용했다.

일단 내부에 들어온 그들은 판매 시점 시스템에 악성코드를 설치하고 4천만 개의 카드 번호와 7천만 명 고객의 데이터를 훔쳤다.

타깃의 보안 도구는 침입을 탐지했지만 경보가 조치되지 않아 유출 사고는 수 주 동안 발견되지 않았다.

이 유출 사고로 타깃은 합의금과 복구에 수억 달러를 썼고, 매출과 평판이 손상되었으며, CEO가 사임하게 되었다.

보안은 가장 취약한 업체의 수준만큼만 강하다. 타깃은 HVAC 업체의 자격 증명을 통해 해킹당했고, 경보는 무시되었다. 아무도 조치하지 않는 경보는 경보가 아니다.

타깃 유출 사고는 역사상 가장 큰 사고 중 하나이자 사이버 보안의 획기적인 사례로, 제3자 업체의 자격 증명과 무시된 경보를 통해 수천만 고객의 데이터를 노출시켰다. 이로 인해 타깃은 합의금과 복구에 수억 달러를 부담했고, 연말 매출과 평판이 손상되었으며, CEO가 사임하게 되었다. 교훈은 오래 남는다. 기업의 보안은 네트워크에 접근할 수 있는 모든 업체에까지 미치며, 보안 도구가 생성하는 경보를 무시한다면 그 도구는 무용지물이다. 조치하지 않는 유출 사고가 바로 당신을 파멸시키는 사고다.