트레저팩토리(트레팍) 정보 유출(이메일 기록 746,277건): 출장 매입·트레팍 이사 고객이 해야 할 일

회사에 따르면 접근당한 시스템은 출장 매입과 트레팍 이사 의뢰를 접수·처리하는 안건 관리 시스템입니다. 매장에 보관된 고객 데이터와 회사 앱에서 관리하는 고객 데이터는 별도 시스템에 있어 영향을 받지 않았습니다.

매장 창구에서만 물건을 팔았거나 앱만 이용한다면 회사가 발표한 범위에는 포함되지 않습니다. 온라인 등으로 출장 매입이나 트레팍 이사를 의뢰한 적이 있다면 이메일 주소가 포함되었을 수 있다고 보고 아래 절차를 따르세요.

회사는 유출된 이메일 주소가 "피싱 이메일 등 부정한 연락에 사용될 수 있다"고 밝혔습니다. 출장 매입이나 이사를 의뢰한 사람이 감정, 견적, 방문 일정, 서비스 재개에 관한 연락을 받아도 이상하지 않기 때문에, 이런 주제의 가짜 메시지는 알아채기 어렵습니다.

확인이 필요하면 이메일 링크가 아니라 직접 연 공식 사이트나 앱을 이용하세요(피싱이란? 참조).

회사는 유출된 고객 데이터에 카드 번호 등 결제 정보는 포함되지 않았다고 밝혔습니다. 이번 사고를 이유로 고객에게 카드 정보 재등록이나 "본인 확인"을 요구하는 내용은 공지 어디에도 없습니다. 이메일이 그런 것을 요구하면 응하지 마세요.

회사 스스로도 의심스러운 사이트에 비밀번호나 카드 정보를 입력하지 말 것을 당부합니다.

회사는 의심스러운 전화를 받은 뒤에는 상대가 밝힌 기관의 공식 연락처를 직접 찾아 문의하라고 안내합니다. 전화로 알려 준 번호로 다시 걸지 말고, 공식 웹사이트에 있는 번호를 사용하세요.

회사는 해당 고객에게 개별적으로 연락할 예정이며 사고 내용과 주의 사항을 안내한다고 밝혔습니다. 전용 상담 창구는 준비 중입니다.

10월 24일 기준으로 회사는 안내를 어떤 방법(이메일, 우편 등)으로 보낼지 밝히지 않았습니다. 안내처럼 보이는 메시지를 받더라도 그 안의 링크로 어떤 절차도 진행하지 말고, 공식 사이트의 공지와 대조하세요.

문제가 된 시스템은 의뢰 접수와 관련 업무에 사용하는 안건 관리 시스템이었습니다. 회사는 재발 방지책으로 외부에 공개된 시스템의 취약점 관리와 점검, WAF(웹 애플리케이션 방화벽, 웹 애플리케이션에 대한 공격을 걸러내는 장치) 같은 방어책을 들고 있습니다.

의뢰 폼 뒤에 있는 안건 관리·고객 관리 시스템 중 인터넷에서 접근할 수 있는 것을 정리하고, 각각에 담당자와 업데이트 절차를 정하세요. 외부 접근이 필요 없는 관리 화면은 접속할 수 있는 곳을 제한하는 것이 첫걸음입니다.

회사는 매장과 앱에 보관된 고객 데이터가 별도 시스템에서 관리되어 영향을 받지 않았다고 밝혔습니다. 매장·앱 데이터가 범위 밖이라고 설명할 수 있으면 문의와 불안이 줄어듭니다.

모든 사업의 고객 데이터를 한곳에 모으지 않는 것은 침입을 막지 못했을 때 피해 규모를 정하는 요소 중 하나입니다.

고객 이메일 기록이 74만 건 넘게 유출되었습니다. 일반적으로 의뢰와 견적을 위해 수집한 연락처를 거래 종료 후 몇 년 보관할지 정하고, 그 기간이 지나면 삭제하거나 연락처를 제거해 보고에 필요한 숫자만 남기면 문제가 생겼을 때 피해를 줄일 수 있습니다(회사가 해당 데이터를 얼마나 보관했는지는 공개되지 않았습니다).

회사는 접근 당일 접근 로그 확인으로 데이터 유출을 확인했고 10:30까지 외부 접속을 차단했다고 밝혔습니다. 로그가 존재하고 읽을 수 있어야 범위 파악과 신속한 차단이 가능합니다. 로그를 어디에 보관하고 누가 언제 확인할지 정하세요. 자사 도메인을 사칭한 가짜 이메일을 줄이는 방법은 이메일 스푸핑과 SPF, DKIM, DMARC를 참조하세요.