리볼루트, 모네로 6000개 공개 요구에도 직접 연락 없어

리볼루트(Revolut)는 고객정보 유출을 주장한 세력이 공개적으로 모네로(XMR) 6000개, 약 300만달러(약 41억1000만원)를 요구했지만 자신들에게 직접 연락하거나 협상을 요청한 적은 없다고 밝혔다.

리볼루트 대변인은 17일 “이 같은 주장을 하는 개인이나 단체로부터 직접 연락이나 요구를 받은 적이 없다”고 말했다. 공개 웹사이트에 게시된 랜섬 요구와 회사가 실제로 받은 공식 요구가 다르다는 의미다.

자신을 ‘IAmNotAVillain’이라고 밝힌 세력은 모네로 6000개를 24시간 안에 지급하라고 요구했다. 응하지 않으면 고객기록을 다른 범죄 조직에 판매하겠다고 주장했다.

이번 요구는 리볼루트 고객정보 유출 사건이 알려진 지 얼마 지나지 않아 나왔다. 공격자는 핵심 시스템에 직접 침입하기보다 정부기관 이메일 계정을 이용해 고객정보를 요청한 것으로 전해졌다.

유출된 것으로 주장된 정보에는 고객의 주소와 연락처, 거래 내역, 신분증 자료 등이 포함됐다. 약 680명의 고객이 영향을 받았다는 보도가 나왔지만, 실제 유출 범위는 별도로 확인되지 않았다.

리볼루트는 고객 계정과 자금, 핵심 인프라는 침해되지 않았다고 설명했다. 개인정보 접근 의혹과 계정 잔액 또는 거래 시스템 침해는 구분되는 사안이다.

랜섬 요구 주체가 하나로 확인된 것도 아니다. ‘Revolut Smilik’이라는 세력은 비트코인(BTC) 1만개를 요구한 것으로 전해졌다.

Revolut Smilik의 요구액은 당시 약 7억8000만달러(약 1조690억원)로, IAmNotAVillain이 요구한 금액보다 훨씬 컸다. IAmNotAVillain은 경쟁 세력이 일부 데이터만 확보한 뒤 사건을 자신들의 소행이라고 주장했다고 반박했다.

사이버 보안 관련 계정 ‘Dark Web Informer’는 또 다른 웹사이트 revoloot.lol을 사건과 연관된 별도 공격자의 공간으로 지목했다. IAmNotAVillain의 웹사이트와 revoloot.lol은 보도 시점에 접속되지 않았다.

여러 세력이 각각 책임을 주장하면서 고객정보를 실제로 통제하는 주체는 분명하지 않은 상태다. 랜섬 요구가 실제 협상이나 대금 지급으로 이어졌다는 내용도 확인되지 않았다.

이탈리아에서는 정부기관 이메일 계정이 범행에 이용됐는지를 확인하기 위한 수사가 확대됐다. 이탈리아 국가 반마피아·대테러국도 의심되는 침입이 정부기관과 관련됐다는 이유로 수사에 관여하고 있다고 ANSA는 보도했다.

레조 칼라브리아 검찰은 공익성이 있는 컴퓨터 시스템에 무단 접근한 혐의를 조사하고 있다. 수사기관은 해당 기관 이메일 계정이 실제로 침해됐는지, 복제된 것인지를 확인하고 있다.

이탈리아 개인정보보호 당국은 다른 은행이나 금융기관이 연루됐는지도 살피고 있다. 금융기관이 고객확인제도(KYC) 과정에서 보관하는 신원정보와 거래기록이 외부 요청에 노출될 수 있는지가 수사의 한 축이다.

KYC는 금융회사가 고객의 신원과 거래 목적을 확인하는 절차다. 이번 사건은 거래 시스템이나 지갑을 직접 공격하지 않더라도, 고객정보를 보관하고 요청을 처리하는 외부 절차가 공격 대상이 될 수 있음을 보여줬다.

리볼루트는 이번 사건에서 고객 자금과 핵심 인프라에는 영향이 없었다는 입장을 유지하고 있다. 다만 고객정보 유출 규모와 랜섬 요구 주체, 유출정보의 추가 판매 여부는 이탈리아 수사 결과와 회사의 후속 발표를 통해 확인될 전망이다.