많은 회사는 CRM을 고객 명단, 영업 기회, 견적, 상호작용 기록의 주 데이터 저장소로 사용합니다. 판매, 마케팅, 고객 지원, 경쟁사 분석이 더 빨라지도록 팀은 다른 도구들을 CRM에 연결합니다. 연락처 동기화, 견적 조회, 회의록 정리, 대화 내용을 리포트로 되돌려오기 등은 일상적인 작업입니다.
이런 통합은 평소에는 매우 편리해 보입니다. 문제는 하나의 제3자 도구가 침해당했을 때, 그 도구가 가진 연결 자격 증명과 OAuth 토큰, 즉 사용자 또는 시스템이 대신 접근할 수 있게 해 주는 인증 티켓이 공격자에게 CRM 진입권이 될 수 있다는 점입니다.
Klue 사건은 좋은 경고 사례입니다. Huntress, Salesforce 공지, 여러 보안 매체의 정리를 보면 공격자가 Klue 통합 서비스의 구형 자격 증명을 이용해 사용자가 Salesforce에 연결할 때 쓰는 토큰을 획득하고 일부 고객 데이터를 조회·유출한 것으로 보입니다. 이는 특정 도구 하나의 고장 문제가 아니라, 제3자 통합·구형 자격 증명·데이터 범위·감사 로그가 함께 무너진 상황이었습니다.
이 글의 목적은 “통합을 모두 끊으라”가 아닙니다. 한 가지만 명확히 하자는 것입니다. CRM 접근이 가능한 어떤 도구든, 일반 플러그인이 아니라 고객 데이터에 영향이 생기는 진입점으로 다뤄야 한다는 점입니다.
먼저 묻기: 이 통합이 실제로 읽을 수 있는 데이터는 무엇인가?
많은 위험은 도구 이름이 아니라 부여된 범위에서 생깁니다.
경쟁사 분석 도구는 영업 기회의 특정 필드만 필요할 수 있지만, 실제로는 전체 계정·연락처·가격·메모·메시지 기록까지 접근할 수 있게 설정되는 일이 흔합니다. 회의 요약 도구는 요약을 CRM에 쓰는 것이 목적이어야 하지만, 동시에 고객 데이터 읽기, 첨부파일 다운로드, 다른 내부 도구 호출까지 가능한 경우도 있습니다.
따라서 첫 단계는 “회사 규모가 크고 보안이 좋은가, 공급사가 검증되었는가”가 아니라 다음 질문입니다.
- 어떤 객체를 읽을 수 있나: 연락처, 영업 기회, 견적, 계약, 첨부파일, 고객 지원 기록?
- 쓰기/수정 권한도 있는가?
- 개인 계정 승인인지, 공용 서비스 계정 승인인지?
- 토큰에 만료일, 교체 규칙, 폐기 절차가 있는가?
- 오늘 즉시 중단할 경우 어떤 프로세스가 멈추고 누가 대체할 수 있는가?
이 질문들에 답하지 못한다면 그 통합은 “설정 완료”가 아니라 “거버넌스 미완료” 상태입니다.
쉽게 놓치는 3가지 공백
| 공백 | 보이는 양상 | 왜 위험한가 | 오늘 바로 할 일 |
|---|---|---|---|
| 구형 자격 증명이 살아 있음 | 오래된 API key, 서비스 계정, 원격 접근이 남아 있음 | 일상적으로 쓰지 않지만 여전히 문을 열 수 있고, 탈취되었을 때 탐지가 늦음 | 90일간 미관리 또는 담당자 미지정 자격 증명을 모두 찾아 비활성화하거나 교체 |
| OAuth 토큰 권한 과다 | 제3자 도구가 방대한 CRM 객체를 읽거나 타 도구 조회까지 수행 | 공격자가 CRM을 직접 뚫지 않아도 유효 토큰만 얻으면 정상 API 경로로 대량 조회 가능 | 권한을 최소 권한으로 축소. 환경/객체/계정 단위 분리를 해 한 개 키를 공유하지 않기 |
| 조회 로그를 못 읽음 | API 조회 급증, 짧은 시간 대량 추출, 비정상 위치 접속이 있어도 경고 없음 | 데이터 유출이 진행 중이어도 팀은 “도구 동기화”로 오해할 수 있음 | 조회량 급증·비정상 출처·근무시간 외 익스포트에 대한 경고와 수동 승인 단계 추가 |
이 표의 목적은 “모든 통합을 보안 프로젝트로 만들자”가 아니라, “연결만 해놓고 끝이 아니라, 축소·감시·비활성화가 가능한 상태로 운영”하자는 것입니다.
소규모 팀이라도 비용 낮게 시작할 수 있는 방법
모든 팀이 전담 보안 조직을 가진 것은 아닙니다. 소규모 팀이라면 최소한 **‘통합 진입점 목록’**만 만들어두면 됩니다. 복잡할 필요 없습니다. 사고 발생 시 “누가 책임지고, 무엇을 읽으며, 어떻게 끊는가”를 답하면 충분합니다.
| 통합 이름 | 연결 대상 | 읽기/쓰기 데이터 | 담당자 | 비활성화 방법 | 최근 점검일 |
|---|---|---|---|---|---|
| 경쟁사/영업 분석 도구 | CRM, 문서, 커뮤니케이션 기록 | 연락처, 영업 기회, 견적, 메모 | 영업 운영 책임자 | 관리 콘솔에서 앱 비활성화, 토큰 폐기 | 월 1회 |
| 회의 요약 도구 | 캘린더, CRM, 클라우드 드라이브 | 회의 내용, 고객명, 첨부 링크 | 고객 지원/영업 리더 | OAuth 승인 취소, 서비스 계정 제거 | 월 1회 |
| 자동화 플랫폼 | CRM, 폼, 이메일 | 고객 기록 추가/수정, 메일 발송 | 프로세스 책임자 | 플로우 중지, API key 폐쇄 | 프로세스 변경 시마다 |
특히 “담당자” 칸은 직함이 아니라 사건 발생 시 결정을 내릴 사람이어야 합니다. 중단 여부, 고객 통보, 토큰 재발급, 자동화 일시 중단 여부를 가장 빨리 판단할 사람입니다.
사고 후엔 먼저 “공급사 탓?”만 묻지 않기
제3자 통합 사고에서 자주 보이는 첫 반응은 “공급사 실수냐?”입니다.
그 질문도 필요하지만 그것만으로는 부족합니다. 더 실용적인 사후 점검 순서는 다음과 같습니다.
- 데이터 범위 확인: 어떤 CRM 객체, 첨부파일, 메시지, 견적이 조회될 수 있었는가? 결제 정보·비밀번호·내부 엔지니어링 데이터는 있었는가?
- 진입점 확인: 침해 경로가 공급사 콘솔, 구형 자격 증명, OAuth 토큰, 서비스 계정, 사용자 계정 중 어디였는가?
- 즉시 축소·비활성화: 의심 토큰 폐기, 불필요 통합 비활성화, 공용 자격 증명 교체 후 필수 프로세스만 단계적으로 복원
- 감사 보강: API 조회량, 내보내기 기록, 출처 IP, 비정상 시간대, 동일 토큰의 비정상 조회 패턴을 재검토
완전한 조사 보고서가 나올 때까지 기다리면 늦을 수 있습니다. 보수적으로는 고권한 진입점부터 먼저 중단 또는 축소하고, 필요한 핵심 프로세스만 임시로 수동 처리하는 쪽이 빠릅니다.
어떤 경우 자동 동기화를 계속 쓰면 안 될까?
아래 경우엔 도구가 평소에 유용해도 우선 수동 승인 또는 동기화 중단이 맞습니다.
- 통합이 고객 개인정보, 견적, 계약, 고객 지원 메시지, 내부 영업 전략을 읽는 경우
- 권한 범위를 설명하지 못하고 “Salesforce/HubSpot/Drive 연결 필요” 수준으로만 설명되는 경우
- 토큰 폐기 위치가 불분명하고, 서비스 계정 정기 점검 책임자가 없는 경우
- API 조회량 경고가 없고 대량 추출 시 책임자 알림이 없는 경우
- 공급사나 플랫폼에서 이상 징후 공지를 했지만 영향 데이터 범위를 내부에서 아직 못 확정한 경우
이건 “자동화를 버려야 한다”는 뜻이 아닙니다. 자동화가 고객 데이터를 조용히 들여보내지 않게 통제해야 한다는 뜻입니다.
이 미니 강의의 결론
AI와 자동화 도구가 CRM, 문서, 고객 지원, 영업 플로우에 더 깊이 붙을수록, 제3자 통합은 늘 일종의 옆문이 됩니다. 평소에는 업무를 빠르게 하지만, 사고 시에는 정당한 권한 경로를 통해 대량 조회가 일어날 수 있습니다.
따라서 새 도구 도입 전에는 기능과 가격 외에 네 가지를 꼭 점검해야 합니다. 무엇을 읽는지, 누가 책임지는지, 어떻게 끄는지, 로그는 어디서 보는지입니다.
이 네 가지가 명확할 때 통합은 비로소 “작동”이 아니라 운영 체계에 편입된 것이 됩니다. 아니면 단지 연결만 된 채 관리되지 않은 상태에 불과합니다.
생활 4컷 만화
- 팀은 CRM 통합에서 이상 신호를 보고, 이를 평범한 동기화로 넘기지 않습니다.
- 담당자는 오래된 키와 토큰을 안전 상자에 넣고 고권한 연결을 잠시 멈춥니다.
- 사람은 API 로그와 조회량을 확인하고, AI 비서는 투명한 안전 경계 안에서 기다립니다.
- 워크플로를 다시 켜기 전, 팀은 수동 승인 게이트를 추가해 통합이 조용히 고객 데이터를 옮기지 않게 합니다.
AI 정리 카드
이 글의 상황에 맞춰 AI에게 정리하게 하기
자신의 AI 채팅 도구에 붙여 넣으면 이 미니 클래스를 개인용 체크리스트로 바꿀 수 있습니다. BMC는 사용자가 AI에 붙여 넣은 내용을 볼 수 없습니다.
참고 자료
- Huntress：Cybercrime Breaches Klue: Salesforce Data Impacted for Many Victims, including Huntress — https://www.huntress.com/blog/klue-breach-investigation
- The Hacker News：Salesforce Disables Klue App Integration After OAuth Token Abuse Exposes Customer Data — https://thehackernews.com/2026/06/salesforce-disables-klue-app.html
- ReliaQuest：Klue Integration Abused in Salesforce Data Theft — https://reliaquest.com/blog/threat-spotlight-integration-abused-in-crm-data-theft/
- Help Net Security：Klue breach lead to Salesforce data theft, Huntress affected — https://www.helpnetsecurity.com/2026/06/19/klue-salesforce-data-breach-huntress/
