영국 코업(Co-op) 그룹 사이버공격, 650만 회원정보 유출 사태

영국 소비자협동조합 코업(Co-op)은 2025년 4월 30일 해킹 공격을 받아 백오피스와 고객지원 시스템 등 내부 IT 시스템 일부가 마비됐다고 공식 인정했다. 회사는 초기에는 피해 규모가 제한적이라고 설명했지만, 이는 이후 드러난 전체 회원정보 유출 사태의 시작점이었다. 같은 시기 영국 백화점 마크스앤스펜서(M&S)와 명품백화점 해러즈도 유사한 사이버공격을 받아, 업계에서는 동일한 공격조직의 소행 가능성이 제기됐다. 코업은 결제 시스템 일부와 매장 재고관리에도 차질이 발생했다고 밝혔다. 이 사고는 이후 영국 소매업계 전체의 사이버보안 경각심을 높이는 계기가 됐다.

랜섬웨어 조직 드래곤포스(DragonForce)의 제휴 해커들이 2025년 5월 2일을 전후해 코업 공격의 배후를 자처하며 탈취한 회원 데이터 일부를 언론에 공개했다. 코업은 이날 성명을 통해 해커들이 자사 한 시스템에 접근해 데이터를 실제로 추출했다고 공식 확인했다. 공격자들은 마이크로소프트 팀즈 메시지로 코업의 보안 책임자 등 임원들에게 직접 연락해 협박성 메시지를 보낸 것으로 드러났다. 이들은 코업 멤버십 리워드 프로그램에 가입한 2000만 명 분의 데이터를 확보했다고 주장했다. 같은 조직은 일주일 앞서 마크스앤스펜서도 공격한 것으로 확인돼 연쇄 공격의 실체가 드러났다.

영국 국립범죄청(NCA)은 2025년 7월 10일 코업·마크스앤스펜서·해러즈에 대한 사이버공격 혐의로 10대 3명을 포함한 4명을 체포했다고 발표했다. 체포된 이들은 17세 영국 남성, 19세 라트비아 국적 남성, 19세 영국 남성, 20세 영국 여성으로, 모두 협박·자금세탁·컴퓨터부정사용법 위반·조직범죄 가담 혐의를 받았다. NCA는 이들이 4월 발생한 랜섬웨어 공격과 직접 연관돼 있다고 밝히며 자택에서 동시다발적으로 체포를 진행했다고 설명했다. 이번 체포는 영국 사상 최대 규모의 소매업 연쇄 사이버공격 수사의 첫 실질적 성과로 평가됐다. 다만 배후 조직 전체의 실체와 자금 흐름에 대한 수사는 계속됐다.

코업 최고경영자 시린 코리하크는 2025년 7월 17일 전체 650만 회원의 이름·주소·연락처·생년월일 등 개인정보가 모두 유출됐다고 공식 시인했다. 그는 이번 사태가 자신에게도 개인적으로 큰 충격이었다며 회원들에게 '매우 죄송하다'고 사과했다. 다만 은행계좌 정보·비밀번호·결제내역 등 금융 관련 데이터는 유출되지 않았다고 설명했다. 이 발표로 당초 '제한적 피해'로 알려졌던 사태의 실제 규모가 코업이 보유한 회원 전체로 확대된 사실이 드러났다. 이는 영국 소매업 역사상 최대 규모의 회원정보 유출 사고 중 하나로 기록됐다.

코업은 2025년 9월 25일 발표한 상반기(7월 5일 마감) 실적에서 4월 사이버공격 여파로 2억600만 파운드의 매출 손실을 봤다고 밝혔다. 이 영향으로 그룹 영업이익과 현금흐름은 8000만 파운드 타격을 입었고, 세전 손실은 5000만 파운드로 전년 동기 5800만 파운드 흑자에서 적자 전환했다. 그룹 매출은 55억 파운드로 전년 대비 2.1% 줄었으나, 공격이 없었다면 오히려 1.5% 늘었을 것으로 추산됐다. 코업은 연간 기준으로는 이익 타격이 1억2000만 파운드까지 커질 것으로 전망했다. 이 수치는 영국 소매업체가 겪은 사이버공격 중 재무적 피해가 구체적으로 공개된 드문 사례로 주목받았다.