트레저, 6.7만 명 추가 고객 정보 유출…피싱 공격 주의보

하드웨어 암호화폐 지갑 제공업체 트레저(Trezor)가 배송업체 데이터 유출 사고로 인해 미국 내 추가 고객 6만 7천 명의 정보가 노출되었다고 밝혔습니다. 이번 사고는 초기 추정보다 더 광범위한 영향을 미칠 것으로 예상되며, 해당 고객들은 잠재적인 피싱 공격 및 사회 공학적 사기에 노출될 위험이 커졌습니다.

Trezor는 금요일 X(구 트위터)를 통해 최신 업데이트를 전하며, 2019년 11월부터 2021년 8월 사이에 제품을 주문한 미국 고객들이 이번 정보 유출의 영향을 받았다고 설명했습니다. 유출된 정보에는 이름, 이메일 주소, 전화번호, 배송 주소, 주문 상세 내역 등 개인의 민감한 정보가 모두 포함되어 있습니다. 트레저는 배송업체인 ShipMonk가 해당 주문 건에 대한 데이터를 삭제하겠다는 서면 약속에도 불구하고 이를 지키지 않은 점을 직접적인 원인으로 지목했습니다.

트레저 측은 자사의 시스템 자체는 이번 침해 사고와 무관하다고 강조했습니다. 그러나 유출된 개인 정보는 6만 7천 명의 고객들이 보유한 디지털 자산에 위협이 될 수 있습니다. 공격자들은 이 정보를 악용하여 트레저를 사칭하는 피싱 공격을 감행하고, 사용자의 지갑을 통제하는 시드 문구(seed phrase)를 탈취하려 시도할 가능성이 있습니다. 시드 문구는 암호화폐 지갑의 모든 자산에 접근할 수 있는 매우 중요한 정보이므로, 이를 탈취당할 경우 자산 전부를 잃게 됩니다.

이번 사고는 트레저가 겪은 두 번째 주요 데이터 유출 사건입니다. 트레저는 지난 8월, 배송업체를 통한 정보 유출 피해 규모가 약 1만 4천 명에 불과할 것으로 초기 추정했습니다. 이후 2024년 1월에는 2021년 12월 이후 트레저 고객 지원팀에 연락했던 약 6만 6천 명의 사용자들이 피싱 공격 위험에 노출될 수 있다고 보고한 바 있습니다. 이러한 일련의 사건들은 암호화폐 하드웨어 지갑 사용자들에게 보안 인식 제고의 필요성을 다시 한번 강조하고 있습니다.

피싱 공격 및 사회 공학적 사기는 기술적 취약점을 직접적으로 악용하는 방식은 아닙니다. 하지만 이러한 신원 도용 기반의 사기 행각은 올해 1분기 암호화폐 업계 전체 손실의 상당 부분을 차지했습니다. 블록체인 보안 회사 해켄(Hacken)의 보고서에 따르면, 1분기 전체 손실액 4억 8,200만 달러 중 3억 600만 달러가 피싱 및 사기 공격으로 인한 것이었습니다. 이는 기술적 해킹보다도 금전적 피해가 더 큰 사기 수법이 성행하고 있음을 시사합니다.

최근에도 유사한 피해 사례가 보고되었습니다. 지난 7월, 한 암호화폐 투자자는 이더리움(ETH) 상에서 악성 피싱 토큰 승인 거래에 서명한 후 약 100만 달러에 달하는 막대한 금액을 잃는 사건이 발생했습니다. 이는 암호화폐 투자자들이 개인 키 또는 시드 문구를 보호하는 것 외에도, 의심스러운 링크나 거래 요청에 대한 경계심을 더욱 높여야 함을 보여줍니다.

이처럼 사용자 정보 유출은 직접적인 자산 탈취뿐만 아니라, 피싱 및 사기 공격의 빌미를 제공하여 2차 피해를 유발할 수 있습니다. 따라서 트레저와 같은 하드웨어 지갑 제공업체들은 파트너사의 보안 관리 감독을 강화하고, 사용자들에게도 항상 최신 보안 정보를 숙지하고 의심스러운 활동에 주의를 기울일 것을 당부하고 있습니다. 고객들은 트레저로부터 오는 공식적인 이메일이나 공지를 꼼꼼히 확인하고, 어떠한 경우에도 개인 정보나 시드 문구를 요구하는 연락에는 응하지 않아야 합니다.