트레저 34만7000명에 피싱 메일…브레보 계정 침해

하드웨어 지갑 업체 트레저 고객 약 34만7000명이 가짜 보안 경고 메일을 받은 것으로 확인됐다. 공격자는 트레저가 뉴스레터 발송에 이용하는 이메일 업체 브레보 계정을 통해 지갑 백업 문구 입력을 유도했다.

트레저는 10일 블로그에서 브레보의 보안 사고로 뉴스레터 주소 약 34만7000개가 공격자에게 노출됐을 가능성이 있다고 밝혔다. 해당 주소가 향후 피싱 공격에 다시 사용될 수 있다는 설명이다.

피싱 메일 제목은 ‘Critical Security Alert: STM32 Entropy Vulnerability’였다. 메일은 트레저 지갑의 보안 취약점을 점검해야 한다며 악성 링크 클릭을 유도했고, 링크를 누르면 앱을 내려받은 뒤 지갑 백업 문구를 입력하게 하는 방식으로 작동했다.

트레저는 메일 발송에 사용된 도메인을 20분 안에 차단했다. 다만 차단 전 약 2500명이 링크를 클릭한 것으로 집계됐다.

트레저 제품과 지갑, 계정 시스템 자체가 해킹된 것은 아니다. 브레보 계정에는 뉴스레터 수신에 동의한 이용자의 이메일 주소만 저장돼 있었고 지갑 비밀번호나 자산 정보는 포함되지 않았다.

트레저는 지갑 백업 문구를 입력하지 않았다면 자산은 안전하다고 설명했다. 백업 문구는 지갑을 복구할 때 사용하는 비밀 문구로, 외부에 노출되면 자산 접근에 악용될 수 있다.

브레보는 이번 사고로 138개 고객 계정에 대한 접근이 이뤄졌다고 밝혔다. 이 가운데 6개 계정이 피싱 메일 발송에 사용됐고, 43개 계정에서는 연락처 정보가 추출됐다. 나머지 93개 계정에서는 의미 있는 활동이 확인되지 않았다.

브레보는 권한 설정 과정의 결함으로 공격자 계정이 접근 가능한 조직 범위를 넘어 다른 고객 계정까지 접근했다고 설명했다. 이번 사고는 고객 정보를 보관하거나 뉴스레터를 발송하는 외부 협력업체의 권한 관리가 보안 위험으로 이어질 수 있음을 보여줬다.

공격 대상은 트레저에 그치지 않았다. 하드웨어 지갑 업체 비트박스와 암호화폐 포트폴리오·세금 관리 서비스 코인트래킹도 브레보를 통한 유사한 피싱 메일이 발송됐다고 각각 밝혔다.

트레저 이용자를 겨냥한 앞선 제3자 이메일 업체 침해와 복구 문구 입력 유도 사건에서도 회사는 제품과 지갑 시스템이 침해되지 않았다고 밝혔다. 이번에도 공격의 초점은 지갑 자체가 아니라 외부 이메일 발송 계정이었다.

피싱 메일은 정상적인 보안 공지처럼 보이도록 하드웨어 취약점과 긴급 경고를 내세웠다. 그러나 트레저는 이메일이나 온라인 링크를 통해 지갑 백업 문구를 요구하지 않는다.

이번 사건은 지난 8월 물류 협력사 침해로 트레저 고객 정보가 노출된 사고에 이은 두 번째 보안 문제다. 앞선 사고에서는 이름과 이메일 주소, 전화번호, 배송지 주소 등 주문 관련 정보가 노출된 것으로 알려졌다.

외부 업체가 보유한 이메일 주소와 연락처가 피싱에 활용되면 공격자는 이용자에게 더욱 정교한 사칭 메시지를 보낼 수 있다. 다만 이번 사고에서 트레저 지갑의 개인키나 자산 정보가 외부로 유출됐다는 내용은 제시되지 않았다.

트레저는 이번 일을 계기로 외부 협력업체와의 관계 및 보안 요건을 재검토할 예정이다. 이용자는 의심스러운 메일의 링크를 클릭하거나 백업 문구를 입력하지 말고, 이미 백업 문구를 입력했다면 자산을 새 지갑으로 옮겨야 한다.