사이버 공격이 실제로 어떻게 발생하는가: H&M과 같은 침해 뒤의 방법들

2026년 10월 12일, H&M 그룹은 소매 매장 잡지 Retail Gazette가 보도한 회사 성명에 따르면 "H&M 그룹 데이터의 제한된 범위"와 관련된 사이버보안 사건의 청구를 조사 중이라고 밝혔습니다. 소매업체는 Beinsure의 보도에 따르면 데이터 환경이 침해되었다는 징후를 발견하지 못했으며 영국 정보위원회 사무소에 통보하지 않았다고 말했습니다.

그 청구는 패션 소매업체 ASOS가 10월 6일 침해를 확인한 며칠 후에 나타났습니다. 그 침해에서 공격자는 신뢰할 수 있는 연락처를 사칭하여 ASOS 직원의 로그인 자격 증명을 얻은 다음, Beinsure의 보도에 따르면 그 자격 증명을 사용하여 제3자 플랫폼에 저장된 고객 이름 및 연락처 세부 정보에 도달했습니다. Retail Gazette는 보도가 H&M의 청구를 같은 사이버범죄 그룹인 ShinyHunters에 연결했다고 지적했지만, 독립적인 확인은 두 사건을 함께 연결하지 못했습니다.

ShinyHunters는 누구인가?

ShinyHunters는 2020년 이후 활동 중인 금전적 이익을 추구하는 해킹 그룹이며 400개 이상의 조직에 대한 침해와 관련이 있다고 사이버보안 업체 DoControl이 말합니다. 이 그룹은 "지불하거나 유출"이라는 갈취 모델을 따르며, 신분금을 요구하고 대상이 지불하지 않으면 다크웹 포럼에서 도난당한 데이터를 공개하겠다고 위협합니다. DoControl이 명시한 과거의 목표 대상에는 Salesforce, Google, Workday, Adidas, Coinbase, Qantas Airways 및 Jaguar Land Rover가 포함됩니다.

대부분의 침해 뒤의 방법들

DoControl의 분석은 이 그룹이 사용한 5가지 기법을 설명합니다. 도난당한 OAuth 토큰을 악용하여 사용자를 사칭하고 다중 인증을 우회합니다. Salesforce Experience Cloud 또는 Google Workspace와 같은 클라우드 플랫폼의 잘못된 설정을 악용합니다. 신뢰받는 소프트웨어 공급업체를 침해하여 한 번에 다운스트림 고객에게 접근합니다. Telegram 채널에서 직원을 영입하여 내부 시스템 접근 권한과 교환하여 보수를 줍니다. IT 직원을 사칭하는 AI 생성 음성 통화를 사용하여 직원을 속여 공격자가 제어하는 응용 프로그램의 승인을 하도록 합니다.

이러한 기법들은 더 광범위한 업계 데이터를 반영합니다. Help Net Security가 인용한 Verizon의 2026년 데이터 침해 조사 보고서는 소프트웨어 취약점의 악용이 도난당한 자격 증명을 능가하여 공격자가 네트워크에 최초로 침입하는 가장 일반적인 방법이 되었음을 발견했습니다. 이는 보고서의 19년 역사에서 처음입니다. 같은 보고서는 미국 사이버보안 및 인프라 보안청의 "알려진 악용된" 목록에 있는 취약점의 26%만이 조사된 조직에서 완전히 패치되었음을 발견했습니다. 이는 1년 전의 38%에서 하락했으며 결함을 패치하는 데 걸리는 중앙값은 43일로 증가했습니다.

인적 요소가 어디에 해당되는가

모든 침해가 소프트웨어 결함에 의존하는 것은 아닙니다. Help Net Security의 Verizon 보고서 요약은 피싱 메시지나 전화통화로 속는 것과 같은 인적 요소를 포함하는 침해가 계속해서 일반적임을 발견했습니다. 보고서는 또한 피싱 사기꾼이 이메일보다 음성 통화와 문자 메시지를 통해 피해자에게 도달하는 것이 일반적으로 더 성공적임을 발견했으나 정확한 비교 수치를 제공하지 않았으며, 전화 기반의 "비싱"이 랜섬웨어 및 갈취 계획에서 점점 더 많이 사용되고 있음을 지적했습니다.

침해에서 제3자 및 공급망 관여는 같은 보고서에 따르면 전년대비 60% 증가했으며 현재 거의 모든 사건에 가까워졌습니다. 이는 ASOS의 공격자가 ASOS의 자체 핵심 시스템이 아닌 제3자 플랫폼을 통해 고객 데이터에 도달한 방식과, Beinsure의 사건 설명과 일치하는 패턴입니다.

H&M 사건에서 확인되지 않은 내용

Retail Gazette가 보도한 H&M의 성명 시점에서 회사는 시스템이 침해되었음을 확인하지 않았으며 청구를 ShinyHunters나 ASOS 사건으로 명확히 연결하지 않았습니다. Beinsure가 보도한 회사의 성명에 따르면 H&M은 조사가 진행 중이며 현 단계에서 추가 세부사항을 공유할 수 없다고 말했습니다.