코인베이스($COIN)가 외주 고객지원센터에서 발생한 대규모 데이터 유출 사건을 수개월간 공개하지 않은 것으로 드러났다. 인도 아웃소싱 업체 직원이 고객 정보를 해커들에게 유출한 이번 사건으로 6만 9천명의 고객 정보가 유출됐다.
미국 아웃소싱 업체 태스크어스의 인도 직원이 자신의 작업장을 몰래 촬영하고 공범과 함께 고객 정보를 사이버 범죄자들에게 유출한 것으로 밝혀졌다. 이 사건으로 인도르 지역의 태스크어스 직원 200여 명이 해고됐다.
코인베이스는 4억 달러(약 5,560억 원) 규모의 손실을 '해외 지원 인력'과 연관 지었으나, 랜섬웨어 요구로 인한 SEC 신고 전까지 사건의 전모를 공개하지 않았다. 내부 보고에 따르면 이번 유출은 코인베이스와 거래하는 다른 BPO 기업들도 표적으로 삼은 광범위한 공격의 일환이었다.
유출된 정보로는 코인베이스의 내부 지갑에 접근할 수는 없었지만, 사기범들이 코인베이스 직원으로 위장해 고객들의 암호화폐를 탈취하는 데 악용됐다. 코인베이스는 피해 고객들에게 보상을 제공했다고 밝혔으나, 회사의 대응 시기와 투명성에 대한 의문이 제기되고 있다.
한편 집단소송에서는 태스크어스가 적절한 데이터 보안 조치를 취하지 않았다고 주장하고 있으나, 태스크어스 측은 이를 부인했다. 이번 사건은 저임금 해외 직원들에게 민감한 고객 응대를 맡기는 아웃소싱의 취약점을 드러냈다는 평가다.