타사 애플리케이션의 개인정보 위험 줄이기
침해 방지 및 피해 완화 전략
타사 애플리케이션은 항상 일정 수준의 보안 및 개인정보 위험을 수반합니다. 공격자는 소프트웨어 취약점으로 인해 중요한 데이터에 접근할 수 있다는 사실을 잘 알고 있습니다. 그러나 SaaS 제품의 사용 및 의존도가 높아지고 애플리케이션 통합이 증가하면서 문제가 증폭되었습니다. 이제 공격자가 악용할 수 있는 취약점이 더 많아졌습니다.
2025년 8월 수백 개의 조직에 영향을 미친 Salesloft Drift 침해 사고는 타사 SaaS 애플리케이션들과 이들의 통합으로 인해 심각한 개인정보 위험이 초래됨을 보여줍니다.
이 특정 공격에서 사이버 범죄자들은 Salesloft Drift 영업 참여 플랫폼을 침해했습니다. 공격자는 OAuth 토큰을 훔쳐 조직에서 사용하는 통합 Salesforce 인스턴스에 액세스할 수 있었습니다. 이번 침해의 영향을 받아 Salesforce 인스턴스가 손상된 조직에서는 공격자의 액세스를 신속하게 차단했지만, 공격자가 고객 지원 케이스의 텍스트 필드를 포함하여 해당 조직의 Salesforce 인스턴스에서 데이터를 유출한 이후였습니다. Cloudflare에서는 수백 개의 조직이 영향을 받았다는 정보를 확보하고 있지만, 그 영향을 공개한 조직은 소수에 불과합니다.
Salesloft Drift 사고에서 공격자는 고객 데이터를 유출했으며, 이는 그 자체로 피해였습니다. 하지만 공격자는 해당 정보를 이용하여 더 큰 해를 끼칠 수도 있습니다. 공격자는 소셜 엔지니어링 계획의 일환으로 훔친 정보를 사용하는 경우가 많습니다. 여기에 더해 Salesloft Drift 공격자는 다른 통합 애플리케이션에 액세스할 수 있는 디지털 자격 증명과 토큰을 훔쳤습니다.
이러한 취약점으로 인해 다양한 중요한 데이터가 더 큰 위험에 노출됩니다. Salesloft Drift 침해 사고로 고객 연락처 및 지원 정보가 유출되었지만, 침해 사고로 영업 비밀, 기업 재무 데이터, 의료 정보 등 훨씬 더 중요한 데이터가 노출될 수도 있습니다. 예를 들어, 2025년 Discord의 타사 고객 지원 벤더에게 발생한 보안 침해 사고에서는 Discord 고객 이름, 이메일 주소, 신용카드 번호, 업로드된 정부 신분증 이미지 등의 도난이 발생했습니다.
조직에서는 타사 유출 사고에 즉각적으로 대응하는 것 외에도 장기적인 영향에 대처해야 합니다. 조직에서는 규제 당국의 벌금, 소송, 고객 신뢰의 훼손에 직면할 수 있으며, 이는 수익에 직접적인 영향을 미칠 수 있습니다.
개인정보 보호 리더로서 Cloudflare에서는 타사 애플리케이션 및 소프트웨어 통합으로 인한 위험에 어떻게 더 잘 대처할 수 있을까요? 몇 가지 모범 사례를 구현하면 이러한 공격이 발생할 경우 취약점을 줄이고 해결 속도를 높일 수 있습니다.
타사 애플리케이션의 위험 이해하기
개인정보 보호 책임자들은 데이터 유출의 잠재적 결과를 너무나 잘 알고 있습니다. 귀 조직은 미국 연방거래위원회(FTC), 보건복지부(HIPAA 위반 시), 미국 주 법무장관, 세계 도처의 여러 나라 데이터 보호 당국(DPA)으로부터 규제 조사를 받을 수 있으며, 잠재적으로 벌금이 부과될 수 있습니다.
그만큼 중요하게도, 데이터 유출은 조직의 평판, 고객의 신뢰, 그리고 수익에 영향을 줄 수 있습니다. 데이터가 노출되면 고객은 계약 위반 조항이나 서비스 크레딧을 통해 구제책을 모색하는 경우가 많습니다. 최악의 경우, 고객은 신뢰를 잃고 다른 곳으로 거래처를 옮깁니다.
타사 애플리케이션 및 통합에 대한 공격으로 인하여 이러한 위험이 커집니다. 자체 시스템에 대해 여러 가지 보호 기능을 마련하는 것은 별개의 일이지만, 서비스 공급자가 이에 상응하는 보호 기능을 제공하도록 하는 것은 더욱 어렵습니다. EU의 디지털 운영 복원력법(DORA)과 같은 규정에서 적용 기관이 서비스 공급자와 해당 서비스 공급자의 공급망에 대한 상당한 실사를 수행하도록 요구하는 이유 중 일부가 바로 그것입니다. EU DPA 및 미국 FTC 집행 기관의 여러 조치에서는 서비스 공급자의 시스템에서 발생한 유출 사고에도 기업이 책임이 있다는 입장을 취하고 있습니다.
타사 개인정보 보호 위험 줄이기
네 가지 모범 사례가 타사의 개인정보 보호 위험을 줄이고 침해 피해를 완화하는 데 큰 도움이 됩니다. 이러한 관행은 일회성 이벤트가 아니라 벤더를 평가하고, 계획을 세밀하게 조정하며, 알림 요건을 최신 상태로 유지하고, 변화에 적응하기 위한 지속적인 노력입니다.
1. 본질적으로 모든 SaaS 공급자를 신뢰하지는 마세요.
IT 및 보안 담당자와 협력하여 새로운 SaaS 애플리케이션을 채택하기 전에 벤더에 대한 실사를 철저히 수행합니다. 벤더가 인증을 획득하고, 데이터 보안을 보호하며, 데이터 위생을 충분히 유지하기 위한 조치를 취하도록 합니다. 가장 중요한 것은 애플리케이션을 올바르게 구성하는 방법을 팀에서 이해하도록 하는 것입니다.
인증: 벤더는 SOC 2 및 ISO 27701, 그리고 PCI DSS 4.0, HIPAA 또는 FedRAMP 등 귀사의 해당 분야에 대한 모든 관련 인증을 보유해야 합니다.
데이터 사용 및 보안: 벤더가 귀사의 데이터를 사용하고 보호하는 방법을 알아봅니다. 귀사의 요구 사항을 충족할 수 없는 특정 벤더와 협력하지 않기로 결정할 수도 있습니다. 예를 들어, 고객의 데이터를 사용하여 구축 중인 AI 모델을 학습시키는 데 사용하지 않는다는 보장을 벤더에게 요구할 수 있습니다. 또한 귀사의 데이터가 별도로 저장되어야 하고 다른 조직의 데이터와 다르게 암호화되어야 한다고 주장할 수 있습니다.
데이터 위생: 벤더가 목적을 달성하는 데 필요한 최 소한의 중요한 데이터만 수집하도록 합니다. 데이터 최소화는 일반 데이터 보호 규정(GDPR)과 같은 데이터 개인정보 보호 규정의 핵심 원칙입니다. 벤더는 또한 규제 준수에 필요한 데이터만 필요한 기간 동안만 보관해야 합니다. 데이터 수집 및 보존을 제한하면 침해 발생 시 노출을 최소화할 수 있습니다. 예를 들어, Discord 침해로 유출된 일부 데이터(운전면허증 이미지 등)는 토큰으로 교체한 다음 삭제했어야 했습니다.
구성: 새로운 SaaS 애플리케이션이 구성되는 방식을 IT 팀에서 이해할 수 있도록 합니다. 특히 이 애플리케이션이 다른 애플리케이션과 어떻게 통합되는지 살펴보세요. 또한, 권한의 세밀성을 평가합니다. 공격자가 단일 계정이나 애플리케이션을 손상시켰을 경우 여러 시스템에 쉽게 액세스할 수 없어야 합니다.
2. 보안 및 다른 팀과 협력하여 대응 계획을 개발합니다.
사이버 범죄자들은 SaaS 애플리케이션의 취약점을 발견하는 한, 공격할 것입니다. 팀과 계획을 구성하여 신속하게 대응하세요.
위기 대응팀: 앞서 언급했듯이, 개인정보 보호팀과 보안팀은 개인정보 보호 우선 보안 프로그램의 일환으로 협력해야 합니다. 그 프로그램에는 IT, 사이버 보안, 운영, 개인정보 보호 직원뿐만 아니라 법무팀, 커뮤니케이션 직원도 포함된 위기팀이 포함되어야 합니다. 이러한 파트너십은 위기가 닥치기 전에 구축되어 있어야만 위기가 닥쳤을 때 역할 분담과 책임 할당을 하느라 허둥지둥하지 않아도 됩니다.
대응 플레이북: 이벤트가 발생했을 때 모든 팀원이 정확히 무엇을 해야 하는지 알 수 있도록 대응 전략을 문서화하는 것이 중요합니다. 그 플레이북에는 다음이 포함되어야 합니다.
사실 확인: 유출의 '누가, 무엇을, 어디에서, 언제'를 파악합니다. 이러한 프로세스에는 사고가 실제로 발생했는지 확인, 사고 타임라인 문서화, 진입점 결정(예: 타사 취약점으로 인한 것인지 여부), 영향을 받은 시스템과 데이터 식별 등이 포함되어야 합니다. 영업 비밀이 도난당할 경우 고객의 개인정보를 분실할 때와 다른 대응이 필요합니다. 마찬가지로 대규모 데이터 유출이 발생하면 소규모 데이터 유출과는 다른 대응이 필요합니다.
격리 및 복구:영향을 받는 시스템을 격리하고, 손상된 자격 증명을 취소하고, 추가 데이터 손실을 방지하기 위한 절차를 정의합니다. 그런 다음 보안팀에서는 유출의 근본 원인을 해결하고 필요한 경우 데이터를 복원할 수 있습니다. 계획의 이들 단계를 미리 테스 트합니다. 사고가 발생하면 설계한 조치를 실행할 수 있어야 합니다.
3. 알림 의무를 이해합니다.
고객 데이터가 노출되는 유출 사고가 발생하면, 회사에 적용되는 수많은 법률에 따라 고객에게 연락해야 합니다. 고객의 위치에 따라 미국 내 여러 주의 법률을 준수해야 할 수 있으며, 각 주마다 알림 요건이 다릅니다. 고객이 EU에 있고 개인 데이터를 관리하는 경우, GDPR에 따라 신원 도용, 재정적 손실, 차별, 기타 형태의 피해를 초래할 위험이 높은 경우 해당 고객에게 알려야 합니다.
상장 기업은 중대한 유출이 발생한 경우에도 SEC에 알려야 합니다. 귀사가 B2B 회사인 경우, 고객 계약에 특정 알림 요건을 포함할 수 있습니다. 예를 들어, 귀사에는 위반 후 24시간~72시간 이내에 알려야 할 의무가 있을 수 있습니다.
유출이 타사 애플리케이션으로 인한 것인 경우 각 당사자의 알림 의무를 이해해야 합니다. 이러한 의무는 어느 조직에서 데이터를 관리하고 처리하는지에 따라 다릅니다.
이러한 모든 알림 요건을 충족하려면 복잡한 작업이 필요합니다. 이러한 복잡성을 줄이려면 모든 고객에 대해 가장 엄격한 규칙을 따르는 정책을 설정할 수 있습니다. 예를 들어 유출로 인해 고객이 피해를 입을 가능성이 아주 적더라도 24시간 이내에 모든 고객에게 알릴 수 있습니다. 아니면, 알림의 복잡성을 이해하고 관할권별로 알림을 다르게 처리할 수 있습니다. 두 가지 접근 방식 모두 장점과 단점이 있으며, 각각 고객 신뢰에 영향이 미칠 수 있습니다.
유출로 인해 피해를 입을 가능성이 낮은 고객에게 알린다면 어떨까요? 그 고객은 귀사를 덜 신뢰할까요, 아니면 더 신뢰할까요? 특정 고객에게 위반을 알려야 하는 법적 요건이 없으므로 통지하지 않기로 결정하면 어떻게 될까요?
법적 요건을 고려하는 것과 더불어 고객의 입장에서도 생각해야 합니다. 고객이 무엇을 언제 알고 싶어할지 생각하고, 알림 결정이 해당 고객과의 관계에 어떤 영향을 미칠 수 있을지 생각해 보세요.
4. 적응력을 갖추세요.
SaaS 애플리케이션, 소프트웨어 통합, 범죄 수법, 개인정보 보호 규제는 항상 진화하고 있습니다. 광범위한 계획을 수립한 조직에서도 예기치 않은 상황에 대비해야 합니다. 중요한 것은 신속하게 대응하고 사고를 통해 학습하며 그에 따라 전략을 조정하는 능력입니다.
SaaS 애플리케이션 보안 강화
공격자는 중요한 고객 및 비즈니스 데이터에 액세스하기 위한 방법으로 SaaS 애플리케이션을 계속 겨냥합니다. 공격을 완전히 차단하는 것은 불가능할 수 있지만, 유출 가능성을 최소화하고 회사, 파트너, 고객이 입는 피해를 줄일 수 있습니다.
Cloudflare에서는 SaaS 애플리케이션과 SaaS 애플리케이션 통합을 보호하도록 지원합니다. Salesloft Drift 유출 사고 이후, Cloudflare에서는 잠재적인 손상에 대한 감지와 대응을 개선하기 위해 단일 프록시를 통해 SaaS 연결을 통합하는 솔루션을 개발 중이라고 발표했습니다.
Cloudflare는 클라우드 서비스 공급자로서 서비스 보안을 강화하고 당사의 타사 서비스 공급자를 모니터링하며 고객의 신뢰와 믿음을 유지하기 위해 지속해서 노력합니다. 저희는 또한 Salesloft Drift 유출 사고 이후에 그랬던 것처럼 사고에 대해 투명해지려고 노력하고 있으며 항상 학습하고 이에 대응하기 위해 적응하고 있습니다. 동시에 투명성 보고서 발행, 영장 카나리아 게시, 개인정보 보호 강화 기술 개발, 표준 수립 등 더 낫고, 더 개인적이며, 더 안전한 인터넷 구축 지원을 목표로 하는 다양한 활동에 전념하고 있습니다.
동시에, 당사에서는 클라우드 연결성으로 보안 위험을 해결하고 모든 개인정보 보호 규제를 준수하면서 복잡성을 제어할 수 있도록 지원합니다. 당사 고객은 통합된 단일 플랫폼을 통해 모든 애플리케이션과 환경에서 강력하고 일관된 보안을 구축하고 모든 범위의 개인정보 보호법과 표준을 충족하는 데 필요한 제어 기능을 구현할 수 있습니다.
이 글은 오늘날의 기술 의사 결정자에 영향을 주는 최신 동향 및 주제에 대한 시리즈 중 일부입니다.
이 주제에 관해 자세히 알아보세요.
다양한 규제 준수를 간소화하기 위해 통합 플랫폼이 중요한 이유를 클라우드 연결성으로 보안 규제 준수를 간소화하는 방법 백서에서 알아보세요.
작성자
Emily Hancock — @emilyhancock
Cloudflare 최고 개인정보 보호 책임자
핵심 사항
이 글을 읽고 나면 다음을 이해할 수 있습니다.
타사 SaaS 애플리케이션 때문에 새로운 개인정보 위험이 초래되는 방식
타사 위험을 줄이기 위한 4가지 모범 사례
개인정보 보호팀과 보안팀이 협력하여 위험을 줄이고 사고에 대응해야 하는 이유