시큐리티팩트
빅토리아 시크릿 해킹.. '황금빛 속옷'이 멈췄다
"AI 발전으로 해커들 점점 더 정교해져".. 장기 보안 사고로 웹사이트 폐쇄
댓글 0
기사입력
: 2025.05.29 13:49
[시큐리티팩트=최석윤 기자] 세계적인 란제리 브랜드 빅토리아 시크릿(Victoria's Secret)이 장기간 '보안 사고'를 이유로 미국 웹사이트를 전격 폐쇄했다고 CNN이 28일(현지시각) 보도했다. 통상적인 제품들이 진열되어야 할 웹사이트는 현재 회사의 성명만 띄운 검은색 화면으로 대체되어 있다. 이례적인 규모와 기간의 서비스 중단은 단순한 기술적 결함을 넘어, 최근 소매 유통업계를 강타하는 사이버 공격의 심각성을 여실히 보여주는 사례로 주목받고 있다.
빅토리아 시크릿은 어떤 회사인가?
빅토리아 시크릿은 한때 전 세계 여성들의 로망이자 속옷 시장의 아이콘으로 군림했던 브랜드다. 화려한 패션쇼와 '엔젤'이라 불리는 톱모델들을 앞세워 관능적이고 섹시한 이미지를 구축하며 독보적인 위치를 차지했다. 란제리, 잠옷, 향수, 바디케어 제품 등을 주력으로 판매하며 특히 젊은 여성층에게 큰 인기를 끌었다.
그러나 최근 몇 년간 빅토리아 시크릿은 변화하는 시장 트렌드와 소비자 니즈에 발맞추지 못해 고전해왔다. 다양성과 포용성을 강조하는 새로운 란제리 브랜드들이 등장하면서, 특정 미의 기준을 강요한다는 비판에 직면하며 매출 부진을 겪었다. 이에 회사는 이미지 변신을 꾀하고, 힐러리 슈퍼(Hillary Super) 전 리한나의 '새비지 X 펜티(Savage X Fenty)' CEO를 영입하는 등 재도약을 모색해왔다. 특히 온라인 쇼핑 채널을 통한 매출 확대에 집중했는데, 2024년 직접 채널(온라인 포함)에서 20억 달러(약 2조7500억 원)의 순매출을 기록하며 연간 매출의 약 1/3을 차지할 만큼 온라인 사업의 중요성이 커진 상태였다. 이런 상황에서 웹사이트의 장기 폐쇄는 회사에 막대한 재정적 타격으로 이어질 수밖에 없다.
'보안 사고', 어떻게 발생했나?
빅토리아 시크릿은 현재 웹사이트를 통해 "보안 사고를 식별하고 해결하기 위한 조치를 취하고 있으며, 예방 조치로 웹사이트와 일부 매장 서비스를 중단했다"고만 밝힌 상태다. 구체적인 해킹 수법이나 피해 범위에 대해서는 함구하고 있지만, 전문가들은 몇 가지 가능성을 제기하고 있다.
AI 보안 기업 XSOC Corp. CEO 리처드 블레흐(Richard Blech)는 CNN과 인터뷰에서 "인공지능(AI) 기술 발전으로 해커들이 점점 더 정교해지고 있다"고 지적했다. AI는 방대한 데이터를 분석하여 취약점을 찾아내거나, 피싱 메일 작성, 멀웨어 코드 생성 등 공격 전 과정을 자동화하고 고도화하는 데 활용될 수 있다.
또한 블레흐는 많은 소매업체들이 사이버 보안을 여러 계정을 관리하는 제3자 조직에 아웃소싱하는 경향이 있는데, 이들이 이러한 고도화된 공격에 대비하지 못할 수 있다고 경고했다. 이는 빅토리아 시크릿의 이번 사고가 외부 서비스 공급자의 보안 취약점을 통해 발생했을 가능성도 시사한다. 만약 제3자 업체가 관리하는 시스템이 뚫렸다면, 빅토리아 시크릿뿐만 아니라 해당 업체를 이용하는 다른 기업들도 잠재적인 위험에 노출될 수 있다.
빅토리아 시크릿은 "즉각적인 대응 프로토콜을 제정했으며, 제3자 전문가들이 참여하고 있다"고 밝혔다. 이는 회사가 이번 사태 심각성을 인지하고 외부 보안 전문가 도움을 받아 사태를 해결하고 있음을 의미한다.
왜 최근 소매 유통업체 해킹이 잦은가?
최근 빅토리아 시크릿뿐만 아니라 여러 소매 유통업체들이 사이버 공격의 표적이 되고 있다. 이는 다음과 같은 이유 때문이다.
방대한 고객 데이터 보유: 소매업체는 수많은 고객의 개인 정보, 결제 정보 등을 대량으로 보유하고 있어 해커들에게 매우 매력적인 표적이다. 이러한 데이터는 다크웹에서 높은 가격에 거래될 수 있다.
온라인 채널의 확대와 복잡성 증가: 코로나19 팬데믹 이후 온라인 쇼핑이 폭발적으로 증가하면서 소매업체들의 디지털 전환이 가속화되었다. 웹사이트, 모바일 앱, 클라우드 시스템 등 온라인 채널의 복잡성이 증가하면서 공격 표면(Attack Surface)이 넓어지고, 그만큼 보안 취약점이 발생할 가능성도 커졌다.
결제 시스템 취약: 카드 정보 처리 시스템이나 전자상거래 플랫폼은 해커들이 현금을 직접적으로 탈취할 수 있는 경로가 될 수 있다.
보안 투자 부족 및 아웃소싱 의존: AI 보안 전문가 블레흐의 지적처럼, 일부 소매업체는 사이버 보안에 대한 투자가 상대적으로 미흡하거나, 여러 계정을 관리하는 제3자 서비스에 보안을 전적으로 의존하는 경향이 있다. 이러한 아웃소싱 의존은 공급망 공격에 취약성을 높일 수 있다.
해커의 정교화 및 AI 활용: AI를 활용한 해킹 기술 발전은 방어자들이 예측하고 대응하기 어려운 새로운 유형의 공격을 가능하게 한다. 해커들은 AI를 이용해 피싱 메일을 정교하게 작성하고, 멀웨어를 개발하며, 시스템 취약점을 자동으로 찾아내는 등 더욱 효율적이고 파괴적인 공격을 시도하고 있다.
실제로 CNN은 이번 달 미국 소매 회사들이 악명 높은 사이버 범죄 그룹과 관련된 해커 표적이 되었다고 보도했으며, 이는 FBI 정보 브리핑을 촉발할 정도였다. 로이터 통신은 이 그룹이 영국에 본사를 둔 막스 앤 스펜서(Marks & Spencer)를 해킹한 혐의를 받고 있다고 보도했는데, 이로 인해 막스 앤 스펜서는 온라인 입지가 심각하게 저해되고 7월까지 3억 파운드(약 5500억 원)의 영업이익 손실과 혼란을 겪을 것으로 예상된다. 블레흐는 빅토리아 시크릿 해킹 강도 또한 비슷한 궤적을 따를 수 있다고 경고했다.
