Salesforce 고객 겨냥 Icarus 공격 확산, SaaS 공급망이 국가 데이터 관문으로 부상함

Salesforce 생태계를 노린 Icarus 캠페인이 데이터 유출을 확대시키며, 글로벌 SaaS 의존 국가들의 공급망 보안 모델 재설계를 압박함

• Dark Reading은 ‘Icarus’로 명명된 공격 캠페인이 Salesforce 플랫폼을 사용하는 다수 기업을 연쇄적으로 노리며 범위를 확대하고 있다고 보도하면서, 공격자들이 Salesforce 계정 탈취, OAuth 토큰 악용, AppExchange 통합 애플리케이션을 통한 사이드 채널 접근 등 복합적인 기법을 사용해 고객 데이터를 유출하고 있다고 전한다.
• 기사에 따르면 Icarus 캠페인은 Salesforce 관리자 계정 피싱, MFA 우회, API 토큰 탈취 이후, Salesforce 내에 저장된 연락처, 계약, 지원 티켓 데이터를 대량 수집하고, 추가로 Microsoft 365와 Google Workspace와 연동된 통합 커넥터를 악용해 이메일·문서·캘린더 데이터에 접근하는 구조를 취하고 있으며, 일부 사례에서는 Snowflake와 같은 데이터 웨어하우스까지 연쇄적으로 침해한 정황이 확인되었다.
• 보도는 Salesforce가 다수의 금융·의료·공공 부문에서 핵심 고객관계관리(CRM)와 서비스 관리 시스템으로 사용되고 있기 때문에, Icarus와 같은 공격이 단일 기업 사고를 넘어 국가 차원의 데이터 주권과 규제 준수 문제로 확산될 수 있고, 결과적으로 CISA, ENISA, 영국 NCSC 등 규제·지원 기관이 SaaS 공급망 보안 지침을 재정비해야 할 가능성이 크다고 분석한다.
• 전략적으로 Icarus 사건은 CrowdStrike, Palo Alto Networks, Zscaler와 같은 보안 기업이 제시해 온 ‘아이덴티티 중심 보안’과 ‘SaaS 보안 포스처 관리(SSPM)’의 필요성을 현실화한 사례로, 기업 경계 방화벽만으로는 Salesforce, ServiceNow, Workday, Microsoft Entra ID와 얽힌 복잡한 클라우드 권한 구조를 보호할 수 없음을 보여주며, 글로벌 규제기관이 SaaS 공급자에 대한 최소 보안 요구사항과 침해 통지 의무를 강화하는 방향으로 움직일 가능성을 높인다.
• Salesforce 의존도가 높은 한국의 금융, 제조, 공공기관은 Icarus 사례를 계기로, SaaS 사용에 대한 등록·심사제, 중요 데이터의 온프레미스 보관 의무, 국내 클라우드로의 로컬라이제이션 정책, 그리고 CSPM·SSPM 솔루션을 통한 연동 SaaS 권한 모니터링을 의무화하는 등, 국가 데이터 주권과 공급망 위험 완화를 결합한 정책 설계를 서둘러야 한다.

Salesforce Icarus 공격은 SaaS를 통한 공급망 침해가 국가 데이터 주권을 직접 위협하는 단계에 왔음을 의미하며, 한국은 공공·금융 SaaS 사용 가이드와 SSPM 도입 기준을 별도 고시로 정립해야 한다.

주요 용어: SaaS 공급망(클라우드 기반 소프트웨어와 그와 연동된 외부 서비스들이 형성하는 연쇄적 의존 구조), SSPM(SaaS Security Posture Management, SaaS 설정·권한·연동을 점검해 보안 수준을 관리하는 기술), Salesforce(전 세계적으로 널리 사용되는 클라우드 기반 고객관계관리 및 서비스 관리 플랫폼)

출처: Dark Reading