온라인 패션 판매업체 ASOS 앱 이용자들에게 10월 6일 오전 협박성 알림이 전송됐습니다.
알림은 회사의 데이터 플랫폼 환경을 장악했다며 대응하지 않으면 정보를 유출하겠다고 주장했습니다.
다만 고객 정보가 실제로 유출됐는지와 침해 범위는 아직 확인되지 않았습니다.
3줄 요약
1. ASOS 앱에 해킹 주장 알림이 떴습니다
2. 알림은 텔레그램 링크를 포함했습니다
3. 정보 유출 여부는 확인되지 않았습니다
“정보를 유출하겠다”는 앱 알림
이용자들이 받은 알림에는 ASOS의 개인정보보호책임자와 IT 부서를 향해, 스노우플레이크(Snowflake) 환경을 완전히 침해했다는 주장이 담겼습니다. 스노우플레이크는 여러 기업이 사용하는 온라인 데이터 플랫폼입니다. 알림은 회사가 대응하지 않으면 정보를 공개하겠다고 적고 텔레그램 대화 링크를 덧붙였습니다.
HuffPost UK에 따르면 관련 게시물은 10월 6일 화요일 오전 10시께부터 이어졌습니다. 이용자 일부는 같은 알림을 받았다고 전했습니다. 다만 알림이 얼마나 많은 이용자에게 전달됐는지는 알려지지 않았습니다.
ASOS의 고객서비스 담당자는 당시 추가로 공유할 정보가 없으며, 파악되는 대로 업데이트하겠다고 답했습니다. 이는 회사의 공식 공지와는 구분해야 합니다. 두 보도 시점에 ASOS는 웹사이트나 사회관계망서비스 계정에 이번 사안과 관련한 안내를 올리지 않은 상태였습니다.
작동 중인 앱과 확인되지 않은 유출 범위
The Independent는 협박성 메시지와 별개로 ASOS 웹사이트와 앱이 평소처럼 작동하는 것으로 보였다고 보도했습니다. 서비스가 접속된다는 사실만으로 침해가 없었다고 판단할 수는 없지만, 보도에 나온 내용만으로 서비스 중단이 확인된 것은 아닙니다.
전문가들은 이 사안을 갈취 시도로 보고 사실관계를 먼저 확인해야 한다고 말했습니다. 말웨어바이츠의 피터 아른츠 연구원은 ASOS가 마케팅에 쓰는 서비스와 스노우플레이크 사이에 간접적인 연결이 있을 수 있다고 설명했지만, 그 연결만으로 공격자가 실제로 접근한 정보가 무엇인지는 알 수 없다고 했습니다.
따라서 구매·검색 이력, 위치, 회원 등급 같은 정보가 노출됐다고 단정할 단계는 아닙니다. 어떤 데이터가 있었는지, 무단 접근이 실제로 있었는지, 고객 정보가 빠져나갔는지가 모두 남은 핵심 쟁점입니다.
링크를 누르기보다 계정 보안을 점검할 때
이번 알림의 텔레그램 링크는 누르지 않는 편이 안전합니다. 보안 전문가 주네이드 알리는 이런 상황에서 알림 속 링크를 따라가지 말고, 사칭과 추가 사기에 주의하라고 조언했습니다.
이미 ASOS 계정을 쓰고 있다면 다른 서비스와 겹치지 않는 길고 고유한 비밀번호를 사용하고, 가능한 경우 2단계 인증을 켜두는 것이 도움이 됩니다. 이번 사안에서 정보 유출이 확인됐다는 뜻은 아니지만, 협박성 알림이 공개적으로 전송된 만큼 이를 미끼로 한 가짜 안내가 이어질 가능성에는 경계할 필요가 있습니다.
The Independent와 HuffPost UK는 보도 당시 ASOS로부터 즉각적인 답변을 받지 못했다고 전했습니다. 회사의 공식 발표가 나오기 전까지는 알림의 주장과 실제 침해 결과를 같은 사실로 받아들이지 않는 것이 중요합니다.