최종편집 2026-01-23 (금)

시큐리티팩트

[시큐리티팩트=최석윤 기자] 전 세계 1만1000개 이상 기업과 7천만 명 이상 사용자에게 인적 자원 기술(Human Resources, HR)을 제공하는 거대 기업 워크데이(Workday)가 해킹당했다고 18일(현지 시각) Gizmodo가 보도했다. 워크데이는 해커가 얼마나 많은 정보를 훔쳤는지 구체적으로 밝히지 않았다. 일부 사용자의 이름, 이메일 주소, 전화번호 등이 유출되었다고만 전했다.

이번 해킹은 수천만 명의 개인 정보를 관리하는 기업에게는 뼈아픈 실수다.

'제3자 고객 DB' 침해... 소셜 엔지니어링 공격 우려

워크데이는 이번 침해가 일부 제3자 고객 관계 데이터베이스에 국한됐다고 밝혔다. '제3자 고객 관계 데이터베이스'는 워크데이가 직접 관리하지 않고, 다른 회사(제3자)의 시스템을 통해 관리되는 고객 정보 데이터베이스를 말한다.

워크데이는 이번 사태로 고객의 인사 데이터나 중요한 정보에는 접근한 흔적이 없다고 강조했다. 하지만 유출된 정보가 '소셜 엔지니어링' 사기에 악용될 수 있다고 경고했다.

소셜 엔지니어링은 해커가 훔친 개인 정보로 대상을 속여 더 중요한 정보를 빼내는 수법이다. 워크데이는 유출된 정보가 주로 이름, 이메일, 전화번호 등 일반적인 비즈니스 연락처였다고 설명했다. 해커가 이를 이용해 추가적인 공격을 시도할 가능성이 높다.

'은폐 시도' 논란에 휩싸인 워크데이

워크데이의 대응 방식도 논란이 되고 있다. 침해는 8월 6일에 발생한 것으로 알려졌다. 하지만 회사가 공식적으로 이를 공개하기까지 꽤 시간이 걸렸다.

게다가 한 외신은 워크데이의 공지 블로그 게시물 소스코드에 'noindex 태그'가 포함되어 있었다고 보도했다. 이 태그는 검색 엔진이 해당 페이지를 검색 결과에 노출하지 않도록 막는 역할을 한다. 의도적으로 정보를 숨기려 한 것 아니냐는 비판을 피하기 어려워 보인다.

'샤이니헌터스'의 소행.. 더 큰 공격 일부였나

이번 워크데이 해킹은 단독 사건이 아닐 가능성이 크다. 전문가들은 이번 해킹이 세일즈포스 데이터베이스에 대한 더 큰 공격의 일부인 것으로 보고 있다.

이 공격은 해킹 그룹 '샤이니헌터스(ShinyHunters)'와 관련이 있는 것으로 추정된다. 이 그룹은 소셜 엔지니어링과 음성 피싱 공격을 주로 사용해 피해를 입히는 것으로 유명하다. 아디다스, 구글, 콴타스항공 등 여러 유명 기업들이 이들의 공격을 받았다. 과거 이들은 AT&T와 파워스쿨을 공격해 수천만 건의 고객 정보를 훔치기도 했다. 워크데이가 고객들에게 소셜 엔지니어링 사기를 경고한 이유가 바로 여기에 있다.

최석윤 기자 sukyoon@securityfact.co.kr 이 기자의 다른 기사 보기