세일즈로프트 드리프트(Drift) OAuth 토큰 탈취발 세일즈포스 대량 유출 사태

2025년 8월 8일부터 18일까지 위협행위자 UNC6395가 AI 영업 챗봇 '드리프트(Drift)'와 세일즈포스를 연동하는 OAuth·리프레시 토큰을 탈취해 고객사들의 세일즈포스 인스턴스에 무단 접근했다. 공격자는 먼저 각 조직의 세일즈포스 오브젝트 구조를 정찰하고 레코드 수를 파악한 뒤 대량 데이터 내보내기(bulk export)를 실행하는 체계적 수법을 사용했다. 탈취된 데이터에는 고객 연락처, 고객지원 티켓 내용, 계정 정보는 물론 티켓 본문에 평문으로 남아 있던 AWS 액세스키·VPN 자격증명·스노우플레이크 토큰 등 2차 침투에 쓰일 수 있는 민감 정보까지 포함됐다. 보안업계는 이번 침투가 다단계 공급망 공격의 전형으로, 단일 SaaS 연동 앱 하나가 뚫리면서 수백 개 기업이 동시에 노출된 사례로 분석했다. 사전 준비 단계로는 3~6월 사이 깃허브 저장소 침해를 통한 초기 접근이 있었던 것으로 추정된다.

세일즈로프트는 2025년 8월 19일에야 자사 시스템과 연동된 고객사 세일즈포스 환경에서 대규모 비정상 접근이 있었다는 사실을 처음 인지했다. 공격이 시작된 8월 8일부터 이 시점까지 약 11일간 탐지가 이뤄지지 않아 피해 조직들의 데이터가 무방비로 유출된 것으로 나타났다. 세일즈로프트는 즉시 세일즈포스 보안팀과 공동 대응에 착수했으며, 피해 범위를 파악하기 위한 포렌식 조사를 시작했다. 이 지연된 탐지는 이후 공급망 보안 업계에서 서드파티 앱의 OAuth 토큰 모니터링 부재를 지적하는 대표 사례로 거론됐다. 세일즈포스 측도 자사 플랫폼 자체가 아니라 연동 앱을 통한 우회 침투였다는 점에서 책임 소재 공방이 이어졌다.

2025년 8월 20일 세일즈로프트는 세일즈포스와 협력해 드리프트에 발급됐던 모든 활성 OAuth 토큰을 폐기하고, 드리프트 앱 자체를 세일즈포스 앱익스체인지 마켓플레이스에서 즉시 내렸다. 이 조치로 추가적인 무단 접근 경로는 차단됐지만, 이미 8월 18일까지 탈취가 완료된 데이터 자체는 되돌릴 수 없었다. 보안 전문가들은 토큰 폐기가 열흘 넘게 늦어진 점을 두고 초동 대응 체계의 허점으로 지적했다. 세일즈로프트는 고객사들에 개별 통지를 시작했으며, 각 기업은 자체적으로 세일즈포스 로그를 다시 분석해 어떤 데이터가 노출됐는지 확인하는 작업에 들어갔다. 이 사건은 이후 'UNC6395 캠페인'으로 명명돼 보안업계 위협 인텔리전스 보고서에 반복적으로 인용됐다.

클라우드플레어는 2025년 8월 9일부터 17일 사이 공격자가 자사 세일즈포스 고객지원 케이스에 접근해 고객 연락처와 상담 내용을 탈취했으며, 이 과정에서 104개의 API 토큰이 함께 노출됐다고 공식 확인했다. 프루프포인트, 팔로알토네트웍스 등 주요 보안기업들도 잇따라 자사가 이번 캠페인의 피해자임을 인정하며 파장이 보안업계 자체로 번졌다. 팔로알토네트웍스는 주로 비즈니스 연락처 정보와 영업 계정 데이터가 영향을 받았다고 밝혔다. 아이러니하게도 사이버보안 전문기업들이 정작 자사 고객데이터 유출 피해자가 되면서, 서드파티 SaaS 연동의 위험성이 업계 전반에 경종을 울렸다. 각 기업은 노출된 API 토큰을 순차적으로 폐기·재발급하는 긴급 조치에 나섰다.

구글 위협 인텔리전스 그룹(GTIG)은 2025년 8월 28일 이번 침해가 세일즈포스 연동에 국한되지 않는다고 발표했다. 드리프트의 '드리프트 이메일' 기능과 연결된 구글 워크스페이스 토큰, 슬랙 연동 토큰, 클라우드 스토리지 접근 토큰까지 함께 탈취됐을 가능성이 확인된 것이다. 이는 단일 SaaS 침해가 이메일·메신저·클라우드 저장소 전반으로 확산될 수 있음을 보여준 사례로, 기업들이 드리프트와 연결된 모든 서드파티 앱을 전수 점검하도록 만들었다. 구글은 드리프트 플랫폼과 연결된 모든 인증 토큰을 잠재적 위험으로 간주해야 한다고 권고했다. 이 발표로 피해 통지 대상 기업 수가 하루 만에 크게 늘어났다.

2025년 9월 들어 이번 사건의 피해 조직은 700곳 이상으로 최종 집계됐다. 클라우드플레어, 구글, 페이저듀티, 팔로알토네트웍스, 프루프포인트, 스파이클라우드, 태니엄, 지스케일러 등 보안·IT 대기업뿐 아니라 결제·핀테크 기업 토스트(Toast·8월 12~15일 피해), 세금 소프트웨어 기업 아발라라 등 업종을 가리지 않고 피해가 확산됐다. 공격 배후로는 스캐터드 스파이더, 샤이니헌터스, UNC6395, GRUB1 등 복수의 해킹 그룹이 연루된 것으로 분석됐다. 일부 그룹은 탈취한 데이터를 근거로 피해 기업들에 금전을 요구하는 갈취 시도에 나서기도 했다. 이 사건은 2025년 한 해 동안 발생한 SaaS 공급망 공격 중 최대 규모로 기록됐다.