클로락스, 코그니전트에 해킹 피해 총 추산액 3억8000만달러 배상 소송
코그니전트, “보안은 클로란스 몫” 반박…양 사 책임 공방

[보안뉴스 여이레 기자] 미국 생활용품 대기업 클로락스가 2023년 발생한 대규모 해킹 사건과 관련, IT 서비스 업체 코그니전트에 3억8000만달러(약 5234억원) 규모의 손해배상 소송을 제기했다.

이번 소송은 외부 IT 서비스 위탁 계약과 내부 보안 프로토콜 사이의 책임 소재를 둘러싼 다툼으로 관련 업계의 주목을 받고 있다.

클로락스는 유한양행과 손잡고 우리나라에서 합작사 ‘유한락스’를 운영하고 있기도 하다.


▲클로락스 로고 [자료: 클로락스]

코그니전트는 IT 서비스 및 컨설팅 기업으로 비즈니스 프로세스 아웃소싱(BPO)을 제공하는 기업이다. 클로락스는 2013년 코그니전트와 IT 서비스 계약을 맺고 클로락스 헬프데스크 운영을 위임했다.

사건은 해킹 그룹 ‘스캐터드 스파이더’가 클로락스 헬프데스크에 전화를 걸어 직원을 사칭하며 비밀번호와 다중 인증(MFA) 재설정을 요청하는 사회공학 공격을 가하면서 시작됐다.

녹음된 통화 내역에 따르면, 코그니전트가 운영하는 헬프데스크 직원들은 요청자 신원을 전혀 검증하지 않은 채 비밀번호는 물론 MFA 설정까지 초기화해 해커에게 클로락스 네트워크 접근 권한을 부여한 것으로 나타났다.


▲헬프데스크 직원과 해커의 통화 내용 [자료: 고소장]

이를 통해 해커들은 2023년 8월 클로락스에 대규모 해킹을 감행했다. 클로락스는 해킹으로 인한 네트워크 마비, 생산 라인 중단으로 대량의 제품 품절 사태와 심각한 사업 차질을 겪었다. 클로락스에 따르면, 사고로 인한 시스템 복구 비용은 4900만달러(약 674억6300만원)에 달하며 공급망 장애와 영업 중단으로 인한 총 손실 규모는 3억8000만달러(약 5234억원)로 집계됐다.

클로락스는 고소장에서 코그니전트가 자사와 체결한 IT 서비스 계약에 명확히 규정된 인증 절차를 전혀 준수하지 않았으며, 클로락스 내부 규정을 무시한 채 직원 교육 내용을 허위로 보고했다고 지적했다. 또 공격 발생 후 코그니전트의 미흡한 대응과 복구 지원 부족, 사고 대응 조치 지연으로 피해가 더욱 확대됐다는 내용도 담겼다.

코그니전트는 자신들은 제한된 헬프데스크 서비스만 제공했으며 클로락스 전체 사이버 보안은 책임지지 않았다고 반박하고 있다. 또 “클로락스 정도의 대기업이 기본적 내부 사이버 보안조차 갖추지 않은 것은 그 자체로 문제”라며 책임 소재를 클로락스 내부 관리 실패로 돌렸다.

한편, 2022년 처음 등장한 스캐터드 스파이더는 대형 기업들을 대상으로 사회공학 기법이나 피싱을 통해 데이터 탈취, 랜섬웨어 등 다양한 사이버 범죄를 저지르고 있다. 최근 주요 조직원들이 미국, 영국, 스페인 등지에서 잇따라 체포 및 기소됐으나 그룹 전체가 분산된 형태로 남아 새로운 인력을 영입하는 등 범죄 활동을 지속하고 있다.

[여이레 기자(gore@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>