Revolut, 국가 기관으로 위장한 해커들에게 고객 정보 유출

레볼루트, 신원 미상의 위협 행위자에게 고객 정보 유출

영국에 본사를 둔 네오뱅크인 레볼루트(Revolut)가 고객 정보를 위협 행위자들에게 실수로 유출한 최신 사례가 되었습니다.

고객들에게 발송된 이메일에 따르면, 전 세계적으로 7,000만 명 이상의 고객을 보유한 레볼루트는 정부 기관을 사칭한 신원 미상의 위협 행위자들에게 개인 식별 정보(PII)를 공유했습니다. 이 회사는 특정 도메인에 호스팅된 무단 주소에서 발송된 정보 요청 이메일에 응하는 과정에서 해당 데이터를 제공했다고 보고했다.

“해당 통신에는 유효한 도메인 인증 자격 증명이 포함되어 있었기 때문에, 레볼루트는 이를 진정한 정부 기관의 요청이라고 합리적으로 믿고 요청을 이행하게 되었습니다”라고 회사는 강조했다.

Revolut은 연루된 것으로 추정되는 기관의 이름을 공개하지는 않았습니다. 그럼에도 불구하고, 공유된 정보에는 이름, 생년월일, 직업, 우편 주소, 이메일 주소, 전화번호 등 핵심 세부 정보가 포함되어 있어, 정보 유출에 연루된 고객들의 개인 정보가 위험에 처할 가능성이 있다고 지적했습니다.

또한 Revolut은 여권 및 운전면허증 이미지와 얼굴 인증 사진이 포함된 문서 및 인증 데이터도 공유했는데, 이는 신원 도용의 위험에 노출될 수 있는 정보입니다.

현재 해체된 ‘Aave Chan Initiative’의 창립자인 마크 젤러(Marc Zeller)도 이번 유출로 피해를 입은 고객 중 한 명이었다.

그는 소셜 미디어에 “눈을 떠보니 내 모든 데이터가 Revolut을 통해 유출된 상태였다. KYC(고객 신원 확인)가 실질적인 이점을 가져다주지 못했을 뿐만 아니라 많은 사람을 위험에 빠뜨렸다는 사실을 뼈저리게 깨닫게 되었다”고 게시했다.

온체인 분석가 ZachXBT는 이번 사건의 규모가 제한적이었을 가능성이 높지만, 고액 자산가들을 겨냥한 것으로 보이며, 이로 인해 피해를 입은 고객들이 표적이 될 가능성이 높아졌다고 지적했습니다.

이번 사건은 렌치(wrench) 공격의 빈도와 잔혹성이 증가함에 따라 여러 기관과 암호화폐 기업들도 고객 정보를 위협 행위자들에게 유출해 사용자의 개인 안전을 위협한 이후, 전 세계적으로 ‘고객 확인(KYC)’ 제도에 대한 반발이 거세지는 가운데 발생했다.