이커머스 플랫폼 BigCommerce에 연동된 제3자 앱 Ribon의 인증 키가 탈취되어, 공격자가 여러 온라인 쇼핑몰에 악성 스크립트를 심고 고객 개인정보에 접근하는 사건이 발생했습니다. 피해는 2026년 9월 13일부터 17일 사이에 발생했으며, 유출된 정보에는 고객 성명·이메일·전화번호·배송 주소가 포함됩니다. BigCommerce 플랫폼 자체가 뚫린 것은 아니며, 결제 카드 정보와 비밀번호는 별도 저장되어 피해를 면했습니다. BigCommerce는 이상을 확인한 즉시 해당 앱을 제거하고 피해 판매자들에게 통보했으며, 수백 개의 쇼핑몰이 영향을 받았을 가능성도 제기되고 있습니다. 이번 사건은 제3자 앱의 API 인증 키 관리가 얼마나 중요한지를 보여주는 공급망(supply chain) 침해 사례입니다.
BigCommerce에 연동된 제3자 앱 Ribon 및 Ribon 1.5의 API 인증 키가 탈취되어, 공격자가 이를 이용해 일부 온라인 쇼핑몰 페이지에 악성 스크립트를 주입하고 고객 데이터에 접근했습니다.
고객 성명, 이메일 주소, 전화번호, 배송 주소 등 개인정보가 노출되었습니다. 결제 카드 정보와 계정 비밀번호는 피해를 입지 않았으나, 수백 개의 판매자 쇼핑몰이 영향권에 있을 가능성이 있습니다.
Ribon 앱 운영사(Be A Part Of/Fastr)가 보유한 BigCommerce 애플리케이션 키가 공격자에게 탈취되어, BigCommerce 환경 내 고객 데이터 접근에 악용되었습니다.
BigCommerce는 9월 17일 인증 키 침해를 확인하고 즉시 피해 쇼핑몰에서 앱을 제거했으며, 관련 판매자들에게 직접 통보하고 로그 데이터를 제공했습니다. 피해 판매자 중 하나인 Master of Malt는 영국 정보위원회(ICO)에 사건을 신고했습니다.
이커머스 플랫폼 운영 기업은 제3자 앱에 부여된 API 키와 권한을 정기적으로 점검하고, 사용하지 않는 통합 앱은 즉시 삭제해야 합니다. 앱 공급업체의 보안 수준도 자사 보안 검토 범위에 포함시켜야 합니다.
본문
이커머스 플랫폼 BigCommerce가 여러 판매자(merchant)에게 데이터 침해를 알렸습니다. 공격자가 제3자 Ribon 애플리케이션의 인증 정보를 탈취한 뒤, 이를 이용해 온라인 쇼핑몰에 악성 스크립트를 주입한 것이 원인입니다.
클라우드 기반 SaaS(서비스형 소프트웨어) 이커머스 플랫폼인 BigCommerce는 9월 17일 인증 정보 침해를 확인하고, 고객 보호를 위해 즉시 해당 앱을 삭제했습니다.
영국 소재 주류 판매업체 Master of Malt는 BigCommerce로부터 알림을 받은 고객사 중 하나로, 공격자가 구매자 정보에 접근했다고 밝혔습니다.
BigCommerce에 따르면, 공격자는 탈취한 인증 정보를 이용해 9월 13일부터 17일 사이에 BigCommerce 환경의 구매자 데이터에 접근했습니다.
사건 경과를 알리는 공지에서 Master of Malt는 피해를 입은 구매자 정보에 성명, 이메일 주소, 전화번호, 배송 우편 주소가 포함된다고 밝혔습니다.
"해커들이 Ribon이 보유한 BigCommerce 애플리케이션 키를 탈취하여 해당 시스템에 저장된 고객 데이터에 접근한 것으로 보입니다"라고 Master of Malt는 전했습니다.
BigCommerce는 1,200개가 넘는 제3자 애플리케이션 및 통합 서비스를 지원합니다. 이 중 Ribon은 쇼핑 경험 최적화를 전문으로 하는 Fastr 산하 브랜드 'Be A Part Of'가 운영하는 앱입니다.
BigCommerce는 계정 비밀번호와 결제 카드 정보를 별도로 저장하며, 이번에 해당 데이터는 노출되지 않았다고 밝혔습니다.
BleepingComputer에 보낸 성명에서 BigCommerce는 공격자가 Ribon 및 Ribon 1.5 애플리케이션의 인증 정보를 탈취했다고 밝혔습니다.
"2026년 9월 17일, Commerce는 Fastr 계열사 'Be A Part Of'가 소유·운영하는 제3자 애플리케이션 Ribon 및 Ribon 1.5의 인증 정보가 침해되어, 소수의 판매자 쇼핑몰 프론트에 악성 스크립트를 주입하는 데 사용된 것을 확인했습니다."
회사 측은 자사 시스템이나 BigCommerce 플랫폼 자체는 침해되지 않았다고 강조했습니다.
"고객과 구매자의 이익을 최우선으로 생각하여, 우리는 피해를 입은 쇼핑몰에서 앱을 제거해 공격자의 접근을 차단하고, 해당 판매자들에게 직접 통보했으며, 개발사의 조사를 지원하기 위해 로그 데이터를 제공하고 있습니다"라고 BigCommerce는 BleepingComputer에 밝혔습니다.
Master of Malt는 이번 사건을 영국 정보위원회(ICO, Information Commissioner's Office)에 신고했으며, 피해가 자사 고객을 넘어 수백 개의 다른 쇼핑몰로 확산될 수 있다고 언급했습니다.
법무법인 Emery Reddy는 이번 사건과 관련된 잠재적 피해자를 찾고 있다고 밝혔습니다. 특정 업체명을 거명하지 않은 채, 현재 여러 소매업체가 Ribon 앱 키 탈취와 관련한 데이터 노출을 고객들에게 통보하고 있다고 전했습니다.
BleepingComputer는 Be A Part Of 및 Fastr에 추가 정보를 요청했으나, 기사 게재 시점까지 답변을 받지 못했습니다.
이번 사건은 전자기기 액세서리 제조업체 ZAGG에 영향을 준 2024년 침해 사고와 유사합니다. 당시 공격자는 제3자 BigCommerce 앱인 FreshClick을 침해해 온라인 쇼핑몰에 결제 정보 탈취 코드(payment-skimming code)를 주입했습니다. 당시에도 BigCommerce는 플랫폼 자체는 침해되지 않았다고 밝히며 고객 쇼핑몰에서 피해 앱을 삭제했습니다.
다만 결제 시 입력된 카드 정보를 탈취한 ZAGG 사건과 달리, 이번 Ribon 공격에서는 탈취한 앱 키를 이용해 BigCommerce에 이미 저장된 기존 고객 데이터에 직접 접근했다는 점이 차이점입니다.
AI 기반 공격을 대비하는 보안 청사진 만들기
NFL, CHANEL, Atlassian 등의 보안 리더 및 Mikko Hyppönen과 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 그만해야 할 것은 무엇인지, 그리고 기계 속도로 검증·결정·수정·재검증하는 방법을 알아봅니다.
자리를 예약하세요
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
