트레저, 개인정보 유출 확대… 6만 7천 명 추가 피해 확인

하드웨어 암호화폐 지갑 제조사 트레저(Trezor)가 물류 파트너사 '십몬크(ShipMonk)'에서 발생한 데이터 유출 사고와 관련하여 미국 고객 6만 7천 명이 추가로 피해를 입었다고 밝혔다. 이는 지난달 처음 공개된 유출 규모를 훨씬 뛰어넘는 수치로, 고객들의 개인 정보와 주문 내역이 외부에 노출될 위험이 커졌다.

트레저가 17일(현지시간) 발표한 내용에 따르면, 이번에 추가로 유출된 고객 정보는 2019년 11월부터 2021년 8월 사이에 주문을 진행했던 미국 거주 고객들이다. 유출된 정보에는 고객의 이름, 전화번호, 집 주소 등이 포함되어 있으며, 일부 정보는 약 7년 전 기록까지 거슬러 올라가는 것으로 파악되었다. 십몬크는 이틀 전 트레저에게 해당 사실을 업데이트하여 전달한 것으로 알려졌다.

십몬크로부터 이번 사태에 대한 소식을 전달받은 트레저 측은 '깊은 유감'을 표하며, 당초 예상했던 것보다 더 많은 고객이 이번 데이터 침해 사고의 영향을 받았다고 전했다. 트레저의 공식 트위터 계정을 통해서도 '2019년 11월부터 2021년 8월 사이에 주문한 미국 고객 6만 7천 명'이 추가로 영향을 받았다는 소식이 공유되었다.

문제는 트레저가 십몬크에 고객 데이터 삭제를 여러 차례 서면으로 요청하고 삭제 확인까지 받았음에도 불구하고, 해당 데이터가 삭제되지 않았다는 점이다. 트레저의 계약 및 데이터 정책에 따라 십몬크는 고객 데이터를 일정 기간 보관 후 삭제해야 할 의무가 있었다. 트레저는 이에 대한 십몬크의 미흡한 조치에 깊은 실망감을 드러냈다.

지난 8월, 트레저가 처음 데이터 유출 사실을 공개했을 당시에는 90일 데이터 삭제 정책을 통해 유출 범위를 제한했다고 밝힌 바 있다. 그러나 이번 추가 유출로 인해 당시 발표의 신뢰성이 크게 흔들리게 되었다. 최초 13,689건으로 알려졌던 유출 규모는 이제 약 80,700건으로 급증했다.

**개인 정보 유출, 다층적인 위협 초래**

트레저 측은 이번 사고로 인해 트레저 자체 시스템은 침해되지 않았으며, 고객들의 개인 키(private key)나 지갑 백업 정보는 안전하다고 강조했다. 하지만 이번에 유출된 정보에는 특정 고객이 특정 주소지에 거주하고 있다는 사실이 명확히 드러나 있어, 고객들이 직접적인 위협에 노출될 가능성이 제기된다.

유출된 고객 정보를 악용한 사기 이메일, 전화, 우편 발송 등은 물론, 심지어 고객의 물리적 안전까지 위협받을 수 있다는 우려가 나온다. 트레저는 피해 고객들에게 지갑 백업 정보를 절대 공유하거나 의심스러운 웹사이트에 입력하지 말 것을 다시 한번 강력히 권고했다.

실제로 과거에도 유사한 사건이 발생한 바 있다. 경쟁사인 하드웨어 지갑 제조사 레저(Ledger)의 고객들 역시 올해 2월, 홀로그램, QR 코드, 위조된 임원 서명까지 포함된 위조 편지를 받아 가짜 보안 점검을 요구받았다. 만약 이를 따르지 않을 경우 지갑 접근 권한을 잃게 된다는 협박까지 동반되었다.

당시 사이버 범죄 컨설턴트인 데이비드 세현 백(David Sehyeon Baek)은 '이름과 집 주소가 담긴 편지는 우리가 당신을 찾아낼 수 있다는 신호'라며, '사람들이 이사를 가거나 전화번호를 자주 바꾸지 않기 때문에, 도난당한 데이터는 수년간 유용하게 사용될 수 있다'고 경고한 바 있다.

이번 십몬크 시스템 침해는 8월 6일 공개된 치명적인 SQL 인젝션 취약점과 관련이 있는 것으로 추정된다. 이 취약점을 이용하면 인증되지 않은 공격자도 데이터베이스에 접근하여 자격 증명 정보를 탈취할 수 있다. 랩톱 제조사 프레임워크(Framework)와 폼 빌더 탤리(Tally) 등도 같은 유형의 공격으로 인해 피해를 입은 것으로 알려졌다. 십몬크 측은 '샤이니헌터스(ShinyHunters)'로 알려진 해킹 그룹으로부터 금품 갈취 이메일을 받았다는 보도도 있으나, 아직 공식적으로 확인되지는 않았다.

트레저는 현재 고객들에게 최대한 신속하게 익명 배송 옵션을 제공하기 위해 노력하고 있다고 밝혔다. 이는 잠금장치가 포함된 배송 방식으로, 배송 과정에서 고객의 주소지가 노출되는 것을 최소화하려는 조치로 풀이된다. 또한, 트레저는 앞으로 이러한 사고가 재발하지 않도록 물류 파트너사의 데이터 관리 및 보안 정책을 더욱 철저히 감독하고 강화해 나갈 것이라고 약속했다.

이번 사건은 암호화폐 하드웨어 지갑 사용자들에게 자신의 개인 정보와 자산 보안에 대한 경각심을 다시 한번 일깨워주는 계기가 되었다. 특히, 개인 정보 유출이 단순히 불편함을 넘어 실제적인 금전적 피해와 물리적 위협으로 이어질 수 있다는 점을 시사한다. 고객들은 트레저와 같은 신뢰할 수 있는 제조사의 제품을 선택하는 것뿐만 아니라, 개인 정보 관리 및 보안 수칙 준수에 더욱 신경 써야 할 것으로 보인다.