자사 앱을 협박 전광판으로 삼은 해커… 에이소스 주가 13% 급락

피해자 자신의 앱으로 배달된 랜섬노트

10월 6일 오전 10시께 에이소스 앱이 깔린 휴대전화들에 회사 데이터보호책임자(DPO)와 IT 담당 직원에게 보낸 메시지↗가 푸시로 떴다. "우리는 스노우플레이크 인스턴스를 완전히 장악했다. 우리와 협상하라. 그러지 않으면 데이터를 유출하겠다." ^{1 2} 협박문은 그날 아침 '쉬안예(Xuanye)'를 자칭하는 집단이 개설한 텔레그램 채널로 연결됐다. ^{1 3}

에이소스 주가는 장중 최대 13.2%, 종가 기준 9.56% 하락했다. 하루 변동폭으로는 2025년 9월 이래 최대이며, 장중 저점에서 시가총액은 약 7,000만 파운드 증발했다. ^{1 2 4 5} 협박문에 제품 이름이 언급된 스노우플레이크도 장전 거래에서 최대 3.2%, 뉴욕 정규장에서 약 2% 빠졌다. ^{2 6}

에이소스가 인정한 침해는 '알림 채널'뿐

푸시가 나간 지 5시간이 넘어서야 에이소스는 "고객과 소통하는 데 쓰는 서드파티 플랫폼에서 허가받지 않은 활동이 있었음을 확인했다"↗고 밝혔다. 회사 측은 고객 이름과 연락처가 "접근됐을 수 있다"고 했고, 신용카드 정보와 비밀번호는 영향을 받지 않은 것으로 보고 있다. ^{4 7} 스노우플레이크는 자체 조사에 착수해 "스노우플레이크 플랫폼의 침해는 없었다"고 보고했다. ^{8 9 7}

핵심 주장은 어느 쪽에서도 입증되지 않았다. 쉬안예가 주장된 데이터의 표본을 공개한 적이 없고 ⁸, 보안업체 소포스는 자신들이 감시하는 포럼이나 채널에 이 집단이 나타난 적이 없다고 말했다 ⁴. BBC는 에이소스가 스노우플레이크 고객인지조차 확인하지 못했다 ³. 메시지가 증명하는 것은 알림 채널 자체가 뚫렸다는 사실이다. 헌트리스의 드레이 아가는 "몸값 요구를 소비자 기기로 직접 보내는 것은 공격적인 협박 전술"이라고 말했다. ^{2 4}

크리스마스 성수기 앞둔 72시간 카운트다운

이번 사고가 신고 대상 침해로 인정되면 에이소스는 인지한 시점부터 72시간 안에 영국 개인정보위원회(ICO)에 신고↗해야 한다. 어기면 최대 870만 파운드 또는 전 세계 매출의 2%에 이르는 벌금이 부과될 수 있다. ¹⁰ 시기가 더 아프다. 에이소스 주가는 올해 들어 60% 넘게 올랐고, 회사는 9월 2026 회계연도 이익 전망을 밝게 제시했으며, 1640만명의 활성 고객을 안고 성수기를 맞았다. ^{7 2} 회사는 사이버 보험과 비즈니스 연속성 보험에 가입해 있으며 "영업에 미칠 잠재적 영향을 수치화하기에는 이르다"고 말했다. ⁴

이런 리스크가 시장 가격에 반영되는 데는 영국의 최근 기록이 있다. 마크스앤스펜서는 작년 공격 이후 웹사이트를 수 주간 닫았고, 쿠옵(Co-op)과 해럿즈, 재규어 랜드로버도 같은 공격 물결에 휘말렸다. ^{4 2}

스노우플레이크는 '일어나지 않은 침해'의 대가를 치른다

2024년 사태와 닮았다. 티켓마스터와 AT&T를 포함한 스노우플레이크 고객사 최소 165곳↗이 플랫폼 자체의 취약점이 아니라 탈취된 인증정보를 통해 해킹당했다. ^{8 7} 이제 고객사에서 벌어지는 협박 사건에 스노우플레이크 이름이 오르기만 하면 주가가 흔들린다. 플랫폼이 짊어지면서도 정작 청구서에는 한 번도 올라가지 않는 전염이다. ⁶

화요일 나온 두 주장이 모두 사실이라면 공격자들이 "둘 이상의 문을 여는 인증정보를 손에 넣었다"고 호라이즌3(Horizon3)의 댄 버드는 말했다. ⁵ 두 개의 시계가 지금 돌아가고 있다. 하나는 영국 개인정보위원회(ICO)가 쥔 72시간이고, 다른 하나는 데이터를 "지정된 기간 동안 건드리지 않겠다"는 쉬안예의 약속이다. ⁴ 둘 중 하나는 먼저 만료된다.