레저 고객 정보 유출…합병 사칭 피싱에 복구 구문 탈취 시도

리걸 테크 기업 레저(Ledger)의 고객들이 최근 정교하게 꾸며진 피싱 사기의 타깃이 됐다. 이번 사기의 배경에는 레저의 전자상거래 파트너인 글로벌이(Global-e)의 정보 유출 사고가 있으며, 해커들은 이를 활용해 사용자에게 발신된 이메일을 개인화함으로써 수신자들이 의심 없이 링크를 클릭하도록 유도하고 있다.

글로벌이 해킹 뒤 이뤄진 피싱…가짜 ‘합병 이메일’ 발송

해커들은 레저와 또 다른 하드웨어 지갑 제조사 트레저(Trezor)가 합병했다는 가짜 이메일을 대거 발송했다. 이메일은 두 회사의 ‘전략적 합병’을 발표하며, 앞으로 보안 수준이 높아질 것이란 내용을 담고 있었다. 사용자는 이를 통해 지갑을 ‘이전(Migration)’하라는 지시를 받았고, 24개의 복구 구문을 입력하도록 유도받았다. 해당 구문은 지갑을 복원할 수 있는 핵심 정보이기 때문에, 이를 범죄자가 확보하면 전체 자산을 탈취당할 수 있다.

레저는 1월 5일 고객들에게 보낸 공식 이메일에서 글로벌이라는 제3자 판매 업체의 시스템이 해킹당해, 고객 이름, 이메일, 전화번호, 주문 내역 등이 유출됐다고 밝혔다. 이후 수 시간 내에 공격자들은 그 데이터를 사용해 가짜 이메일을 공유했고, X(구 트위터)에는 관련 스크린샷이 다수 게시되며 사건이 확산됐다.

피해 조사 나선 레저와 글로벌이

글로벌이는 이번 침해에 대한 내부 조사를 시작했으며, 사이버 보안 전문가와 함께 사건의 범위를 파악하고 있다고 전했다. 회사는 구체적인 피해자 수는 밝히지 않았으나, 유출된 정보가 주문 및 연락처 정보로 제한됐다고 설명했다. 레저 또한 해당 사건을 자료 보호 당국에 신고하고, 사법 기관과 협력 중인 것으로 알려졌다.

레저는 사이버 범죄에 여러 차례 노출됐던 전례가 있다. 지난 2020년, 레저의 쇼핑 및 마케팅 데이터베이스가 해킹당해 수십만 명의 개인 정보가 탈취된 바 있다. 이로 인해 당시 수많은 사용자가 피싱 이메일과 협박 메시지를 받았으며, 레저는 이 사건의 공개가 늦어 사용자로부터 거센 비판을 받았다. 해당 사건은 쇼피파이와 연루돼, 한 쇼피파이 내부 직원이 2만 명의 고객 데이터를 유출한 것으로 확인되기도 했다. 그해 말에는 약 29만 2천 명의 고객 데이터가 온라인상에 유포되기도 했다.

지갑 드레이너 사고까지 잇달아

레저는 최근에도 보안 사고를 겪었다. 한 오픈소스 라이브러리에 지갑 드레이너 악성코드가 삽입돼, 이를 사용하던 디앱(탈중앙화 애플리케이션) 사용자 지갑에서 약 60만 달러(약 8억 6,940만 원) 상당의 암호화폐가 탈취됐다. 문제는 해당 모듈이 여러 앱에서 공통으로 쓰이고 있다는 점이다. 레저는 이를 즉시 패치했으며, 관련된 이용자 보호를 위한 조치를 병행하고 있다.

하드웨어 지갑은 암호화폐를 인터넷으로부터 완전히 분리된 오프라인 상태에서 보관하는 방식으로, 일반적으로 가장 안전한 방식으로 평가받는다. 하지만 복구 구문이 외부에 유출될 경우 그 어떤 보안 시스템도 자산을 지켜줄 수 없다.

TP AI 유의사항

TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.