안녕하세요! 보안 사건사고를 접할때다 설마 이런 기초적인 허점으로 뚫리겠어? 라는 방심이 가장 무서운 적이라는 걸 매번 깨닫게 돼요.
벌써 5년 전 일이 되었지만, 당시 출시 불과 3일 만에 사용자 인증 약점을 찔려 6억 원의 피해를 내고 결국 서비스 종료로 이어졌던 세븐일레븐의 ‘세븐페이’ 사건은 여전히 우리에게 뼈아픈 교훈을 남겨주고 있습니다. 생년월일이나 전화번호 같은 기본 입력값의 취약점을 악용당한 이 사건은, 다중 인증(MFA)과 계정 권한 관리가 왜 보안의 기본값이어야 하는지 증명하는 대표적인 사례였죠. 그런데 최근, 이 세븐일레븐이 또 다시 보안 폭탄을 맞았다고해요. 악명 높은 해킹 그룹 ‘샤이니헌터스(ShinyHunters)’에 의해서 말이죠.
샤이니헌터스는 세븐일레븐이 프랜차이즈 관리에 사용하던 세일즈포스(Salesforce) 기록 시스템을 해킹해, 무려 60만 건 이상의 내부 데이터를 탈취했다고 주장하며 대규모 금전을 요구했어요. 이 데이터에는 가맹점 신청자들의 개인정보뿐만 아니라, 기업의 일급비밀이 담긴 내부 문서까지 대거 포함되어 있어 2차 협박과 사기 대출 같은 추가 피해로 이어질 우려가 매우 큰 상황이랍니다. 5년 전에는 자체 결제 앱의 인증 허점으로 무너졌던 세븐일레븐이, 이번에는 클라우드와 SaaS(서비스형 소프트웨어) 환경의 관리 허점을 찔려 또 다시 악몽을 마주하게 된 셈이네요.
사실 이 샤이니헌터스의 행적을 보면 입술이 바짝 마를 지경이에요. 이들은 최근 전 세계 수많은 대학이 사용하는 필수 교육 플랫폼인 Canvas LMS를 해킹해 로그인 페이지를 자신들의 협업 메시지로 도배하는 대담함을 보였고, 클라우드 배포 플랫폼인 Vercel에서는 연동된 외부 AI 도구의 보안 결함을 이용해 직원 계정을 훔쳐내 고객 정보를 털어가기도 했어요. 심지어 유명 홈보안 기업인 ADT 역시 이들의 교묘한 보이스 피싱(Vishing) 공격에 속아 직원의 SSO계정을 탈취당하면서 550만 건의 이메일이 유출되는 수모를 겪었답니다.
결국 우리에게 주는 교훈은 너무나 명확합니다. 아무리 비싸고 훌륭한 첨단 보안 솔루션을 성벽처럼 쌓아 올려도, 성문이 삐걱거리면 아무 소용이 없다는 사실이에요. 지금 당장 우리 조직의 클라우드 서비스 접근 권한이 너무 과도하게 열려있지는 않은지, 다중 인증이 예외 없이 완벽하게 적용되어 있는지 다시 한번 쓱 살펴보시는 건 어떨까요?
<관련기사>
○ 세븐일레븐, 샤이니헌터스 해킹 공격에 프랜차이즈 자료 유출 확인 (2026.05.20.)
○ ‘공급망·클라우드’ 노린 침투 확대… 잠복형 해킹 늘어? (2026.03.11.)
○ 시스코, 구글까지 털렸다…“전부 샤이니헌터스 짓이야” (2025.08.08.)
