[알리안츠생명(미국법인)] 세일즈포스 CRM 사회공학 공격으로 고객·파트너 최대 280만건 정보 유출_2025년 07월
독일 알리안츠 그룹의 미국 보험 자회사 알리안츠생명(Allianz Life)이 제3자 클라우드 기반 CRM 시스템에 대한 사회공학적(피싱) 공격을 받아 고객·금융전문가·일부 직원의 개인정보가 유출됐다. 당초 140만명 규모로 발표됐으나, 이후 데이터 유출 알림 서비스와 보안업계 분석을 통해 파트너사를 포함한 최대 280만건 기록이 노출됐고 실제 확인된 고객 규모도 약 110만명에 달하는 것으로 파악됐다.
□ 개요
미국 알리안츠생명은 2025년 7월 26일(현지시간) 성명을 통해 해커들이 지난 16일 자사 미국 고객과 금융 전문가, 일부 직원들의 개인정보를 빼내 갔다고 밝혔다. 알리안츠생명은 이번 해킹이 140만명에 이르는 미국 고객 대부분에 영향을 미쳤다며, 미국 내 법인에만 해당하는 사건이라고 설명했다.
알리안츠생명은 "악의적인 위협 행위자(해커)가 회사가 사용하는 제3자 클라우드 기반 시스템에 접근해 사람을 속여 정보를 빼내는 사회공학적 기법을 사용해 정보를 빼내 갔다"며 "우리는 즉각적으로 대응해 문제를 차단하고 미 연방수사국(FBI)에 신고했다"고 밝혔다. 회사는 알리안츠생명 네트워크나 다른 시스템이 해킹당했다는 증거는 발견되지 않았다고 덧붙였다. 알리안츠생명은 독일 글로벌 금융그룹 알리안츠가 소유한 미국 보험회사로, 모회사의 전 세계 고객은 1억2500만명에 달한다.
이후 보안업계 취재를 통해 사건의 전모가 더 드러났다. 침해가 발생한 시스템은 세일즈포스(Salesforce) 기반 CRM으로, 해커는 알리안츠생명 내부 직원에게 전화를 걸어 세일즈포스 연결 코드를 입력하도록 유도하는 피싱(소셜 엔지니어링) 수법을 사용했다. 직원이 악성 앱에 연결 권한을 부여하면서 공격자들이 광범위한 데이터 접근 권한을 얻게 된 것으로 분석됐다. 데이터 침해 알림 서비스 'Have I Been Pwned(HIBP)'는 이메일, 이름, 성별, 생년월일, 전화번호, 주소 등 주요 개인정보가 약 110만명 규모로 노출됐다고 확인했다. 외부로 공개된 데이터는 약 280만건 규모로, 개인 고객뿐 아니라 자산관리사·금융자문사·중개인 등 파트너사 정보까지 포함됐으며, 일부 피해자의 경우 세금 식별번호와 연락처 등 민감한 개인정보가 유출 파일에 실제로 포함된 것이 확인됐다.
공격 배후로는 '샤이니헌터스(ShinyHunters)', '스캐터드 스파이더(Scattered Spider)', '랩서스$(Lapsus$)'가 결합한 'ScatteredLapsuSp1d3rHunters'라는 해커 연합이 지목됐으며, 이들은 텔레그램 채널을 통해 알리안츠생명을 비롯해 인터넷 아카이브, 피어슨, 코인베이스 해킹도 자신들의 소행이라고 주장했다. 소송 과정에서 원고 측은 유출 용의자를 국제적으로 악명 높은 해킹 조직 '샤이니헌터스'로 특정하기도 했다. 구글 위협 인텔리전스는 이를 침투 담당 그룹(UNC6040)과 협박 활동 그룹(UNC6240)으로 나눠 분석했다. 알리안츠생명은 사건 직후 조사를 시작했으며 피해 고객들에게 2년간 신원 모니터링 서비스를 제공하겠다고 약속했다. 이번 공격은 알리안츠생명만의 문제가 아니었으며, 같은 시기 구글, 아디다스, 콴타스, 루이비통, 디올, 티파니, 샤넬, 워크데이 등 세일즈포스 CRM을 이용하는 글로벌 대기업들이 동일한 수법의 공격 피해를 입었다.
□ 사고내용 요약
1. 회사명 : 알리안츠생명(Allianz Life, 미국법인, 독일 알리안츠 그룹 소유)
2. 사고유형
- 세일즈포스 CRM 대상 사회공학적(피싱) 공격을 통한 OAuth 권한 탈취 사고
- 고객·파트너사·직원 개인정보 대량 유출 사고
3. 유출규모 : 발표 당시 140만명 → 이후 확인 약 110만명(HIBP), 파트너사 포함 최대 280만건 기록
4. 유출항목
- 이메일, 이름, 성별, 생년월일
- 전화번호, 주소
- (일부 피해자) 세금 식별번호(TIN) 등 민감정보
5. 특이사항
- 기술적 취약점이 아닌 내부 직원을 속인 소셜 엔지니어링(전화 피싱)이 침해 원인
- 초기 발표(140만명)와 이후 외부 검증 결과(110만~280만건) 간 규모 격차 발생
- 배후로 샤이니헌터스·스캐터드 스파이더·랩서스$가 결합한 해커 연합 지목, 구글은 침투조와 협박조로 역할 구분해 분석
- 같은 시기 구글, 아디다스, 콴타스, 루이비통, 디올, 티파니, 샤넬, 워크데이 등 세일즈포스 이용 글로벌 기업들이 동일 수법으로 연쇄 피해
- 세금 식별번호 등 유출로 맞춤형 피싱, 계정 탈취, 심 스와핑 등 2차 공격 악용 우려
- 미국 내 법인에 한정된 사고이며, 모회사(전 세계 고객 1억2500만명) 및 타국 법인은 영향 없음
□ 사고대응 타임라인
- 2025년 07월 16일
. 해커, 세일즈포스 CRM 대상 피싱(소셜 엔지니어링) 공격으로 데이터 탈취(침해 발생)
- 2025년 07월 26일
. 알리안츠생명, 공식 성명 발표(140만명 영향, FBI 신고)
. 문제 접근 경로 즉각 차단
- 2025년 08월 초
. 'ScatteredLapsuSp1d3rHunters' 텔레그램 채널 등장, 알리안츠생명 등 해킹 자처
. 구글, 자사 세일즈포스 인스턴스 침해 사실 별도 확인·통보
- 2025년 08월 21일경
. HIBP, 약 110만명 규모 개인정보 노출 확인
. 실제 유출 데이터 약 280만건(파트너사 포함) 확인
. 알리안츠생명, 피해 고객 대상 2년간 신원 모니터링 서비스 제공 약속
- 2025년 07월 29일
. 소송 제기, 원고 측 해킹 배후로 '샤이니헌터스' 특정 주장
- 이후(재조명 보도)
. 국내 매체(조선데일리 등)를 통해 재차 보도
□ 대응내역
- 침해 인지 즉시 해당 접근 경로 차단
- 미 연방수사국(FBI) 신고
- 사건 직후 자체 조사 착수
- 피해 고객 대상 2년간 신원 모니터링 서비스 제공
※ 개인정보보호 관계기관 신고, 세일즈포스 연동 계정 권한 전면 재점검 등 세부 기술조치는 추가 확인 필요
□ 재발방지대책(권고사항)
1. 기술적 조치
- 세일즈포스 등 클라우드 CRM 연결 애플리케이션 권한을 도메인 관리자급으로 엄격히 관리
- OAuth 연결 코드 발급·입력 절차에 대한 다단계 검증 강화
- 대량 데이터 추출 등 비정상 행위 실시간 모니터링 체계 구축
- 세금 식별번호 등 민감정보 필드 암호화 및 접근통제 강화
2. 관리적 조치
- 전화 등을 통한 소셜 엔지니어링(연결 코드 유도) 공격 대응 직원 교육 강화
- 제3자 클라우드 서비스 연동 시 최소 권한 원칙 적용
- 침해사고 대응 매뉴얼 정례화 및 신속 신고 체계 유지
- 고객·파트너사 대상 맞춤형 피싱·심스와핑 등 2차 피해 예방 안내 지속
□ 관련기사(출처)
- 알리안츠 생명 해킹…140만명 고객정보 유출 - 조선데일리
- 美알리안츠생명 140만명 고객 정보 털렸다…FBI에 신고 - 아주경제
- 해커, 알리안츠생명 고객·파트너 280만 건 정보 탈취…세일즈포스 노린 정교한 공격 - 데일리시큐
- 알리안츠생명, 세일즈포스 CRM 공격으로 110만 명 개인정보 유출 확인 - 데일리시큐
- 해커집단 조직적 사칭 접근…알리안츠 개인정보 유출 원인은 '피싱' - 서울와이어
감사합니다.