레볼루트 고객확인·비트코인 거래정보 유출...정부 도메인 사칭에 자료 제공

영국 핀테크 기업 레볼루트에서 고객 정보 유출 사고가 발생했다. 공격자는 실제 정부기관 이메일 도메인을 악용해 자료 제출을 요구한 것으로 알려졌다.

9월 12일 더블록에 따르면 레볼루트는 합법적인 정부기관 이메일 도메인에서 온 것처럼 꾸민 허위 기록 요청에 따라 민감한 고객 정보를 권한 없는 제3자에게 제공했다. 레볼루트 대변인은 이번 사건을 "정교한 외부 사칭 사기"라고 설명했다. 회사는 문제를 확인한 뒤 해당 이메일 주소를 차단했으며 레볼루트 시스템과 고객 자금에는 영향이 없었다고 밝혔다.

레볼루트는 제한된 수의 고객이 영향을 받았다고 설명했다. 회사는 해당 고객에게 직접 연락했으며 일부 고객은 금요일에 관련 이메일을 받았다고 전했다. 다만 피해 고객 수와 특정 시장에 국한된 사건인지 여부는 공개하지 않았다. 어떤 정부기관 도메인이 사용됐는지도 밝히지 않았다.

피해 고객에게 보낸 안내문에 따르면 유출 가능성이 있는 정보에는 이름과 생년월일이 포함됐다. 우편 주소와 이메일 주소 전화번호도 포함됐을 수 있다. 여권과 운전면허증 등 신분증 사본도 노출 가능성이 있는 항목으로 제시됐다. 본인 확인용 셀피와 계좌 명세서 거래 내역도 함께 공개됐을 수 있다.

마운트곡스 전 최고경영자 마크 카펠레스는 자신도 피해자에 포함됐다고 밝혔다. 그가 공개한 레볼루트 고객 안내문 사본에는 계좌 명세서와 국제은행계좌번호가 포함됐다. 출금 기록과 전체 거래 내역도 잠재적으로 제3자에게 전달된 정보로 적시됐다. 비트코인 거래 내역도 여기에 포함됐다.

레볼루트 대변인은 관련 정부기관과 법 집행기관에 이번 사건을 알렸다고 밝혔다. 데이터 보호 당국과 금융 규제기관에도 통보했다. 온체인 조사관 잭XBT는 팔로어들에게 이번 유출 사고를 알리며 고액 자산 이용자가 표적이 됐을 가능성을 제기했다. 그는 "이번 사건의 규모는 제한적일 가능성이 크지만 고액 자산 이용자를 겨냥한 것으로 보인다"고 말했다.

은행·암호화폐 사업 확장 중 발생

이번 사고는 레볼루트가 미국과 해외에서 은행 및 암호화폐 사업 확대를 추진하는 가운데 발생했다. 레볼루트는 이달 초 미국에 국립은행을 설립하기 위해 미국 통화감독청으로부터 조건부 승인을 받았다. 계획 중인 은행은 전통 은행 상품과 스테이블코인 서비스를 함께 제공할 전망이다. 회사는 올해 초 신규 은행 인가를 신청하면서 이 같은 계획을 밝힌 바 있다.

레볼루트는 8월 덴마크와 폴란드 포르투갈의 일부 고객을 대상으로 첫 유로화 기반 스테이블코인 EURR 배포도 시작했다. 당시 회사는 전 세계 고객 수가 8000만 명이라고 밝혔다. 또 유럽경제지역 전역으로 해당 스테이블코인을 확대할 계획이라고 설명했다.

독립형 암호화폐 거래 플랫폼 레볼루트 X 확장도 이어지고 있다. 레볼루트는 7월 이 거래소를 클로드와 제미나이 등 외부 AI 비서와 연결했다. 고객은 자연어 프롬프트로 시장을 분석하고 거래를 실행할 수 있게 됐다.

암호화폐 업계 고객정보 노출 잇따라

레볼루트 사고는 암호화폐 및 관련 핀테크 기업에서 이어지는 고객 데이터 보안 사고의 최신 사례다. 지난달 암호화폐 지갑 업체 세이프팔은 주문 추적 시스템 결함으로 약 3만9798명의 고객 정보가 노출됐다고 밝혔다. 노출 정보에는 이름과 연락처 배송지 구매 내역이 포함됐다. 세이프팔은 개인키와 시드 문구 고객 자금은 영향을 받지 않았다고 설명했다.

하드웨어 지갑 제조사 트레저는 지난주 배송업체 쉽몽크에서 발생한 침해 사고로 미국 고객 약 6만7000명이 추가 영향을 받았다고 밝혔다. 이는 회사가 8월 처음 공개한 사고 범위가 크게 확대된 것이다. 노출 정보에는 이름과 이메일 전화번호 배송지 주문번호가 포함됐다.

트레저는 이번 주 별도로 제3자 이메일 제공업체 침해 사고도 공개했다. 이 사고로 공격자는 트레저의 정상 도메인에서 피싱 이메일을 보낼 수 있었다. 신뢰받는 도메인이 공격에 악용됐다는 점에서 레볼루트 사례와 일부 유사성이 있는 것으로 평가된다.

TokenPost AI 유의사항 TokenPost.ai 기반 언어 모델을 사용하여 작성된 기사입니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.