핀테크 리볼트, 정부 사칭에 고객 정보·비트코인 거래내역 유출

영국 기반의 핀테크 기업 리볼트(Revolut)가 정부 기관을 사칭한 사기성 요청에 속아 고객의 민감한 개인 정보와 비트코인 거래 내역을 유출한 사건이 발생해 파문이 일고 있습니다.

이번 사건은 지난 9월 12일(현지시간) 암호화폐 분석가 ZachXBT가 사회관계망서비스(SNS)를 통해 공개하면서 알려졌습니다. ZachXBT에 따르면, 리볼트는 정부 기관의 합법적인 이메일 도메인을 사용한 승인되지 않은 이메일 계정으로부터 고객 정보 요청을 받았습니다. 해당 이메일은 정부 기관의 공식적인 도메인을 사용했기 때문에, 리볼트는 이를 진정한 요청으로 판단하고 응했습니다.

유출된 정보의 범위는 매우 광범위합니다. 고객의 신원 정보에는 전체 이름, 생년월일, 직업 등이 포함되었으며, 연락처 정보로는 우편 주소, 이메일 주소, 전화번호가 포함되었습니다. 또한, 신원 확인을 위해 제출된 여권이나 운전면허증 사본, 본인 인증 셀카 등 문서 및 검증 데이터도 유출되었습니다. 특히 암호화폐 보유자들에게 가장 큰 충격을 안겨준 것은 금융 관련 정보입니다. 여기에는 IBAN 및 지갑 참조 번호가 포함된 계정 명세서, 출금 기록, 그리고 비트코인 거래 내역을 포함한 전체 거래 기록이 포함된 것으로 알려졌습니다. 리볼트 측은 생체 인식 얼굴 텔레메트리 데이터는 포함되지 않았다고 밝혔습니다.

리볼트의 대변인은 이 사건을 "권한이 없는 제3자가 합법적인 정부 기관 도메인 이메일을 사용하여 정보에 대한 사기성 요청을 제출한 정교한 외부 사칭 사기"라고 인정했습니다. 회사는 "제한된 수의 고객"이 영향을 받았으며, 해당 이메일 주소를 차단하고 관련 기관, 법 집행 기관 및 규제 당국에 알렸다고 밝혔습니다. 또한, 회사의 시스템과 고객 자금은 안전하다고 강조했습니다. 다만, 얼마나 많은 사람이 영향을 받았는지, 그리고 어떤 기관이 사칭되었는지에 대한 구체적인 정보는 공개를 거부했습니다.

암호화폐 분석가 ZachXBT는 이번 사건이 고액 자산 보유자를 대상으로 한 것으로 보인다고 지적했습니다. 이는 최근 암호화폐 보유자를 대상으로 한 폭력적인 '렌치 공격(wrench attack)'이 증가하는 추세 속에서 우려를 더하고 있습니다. '렌치 공격'은 해커가 피해자의 개인 정보를 알아낸 후, 협박을 통해 금품을 요구하는 범죄 수법입니다.

이번 유출 사건은 고객 신원 확인(KYC) 규제가 오히려 고객의 개인 정보를 위험에 노출시켰다는 비판을 불러일으키고 있습니다. 소셜 미디어 사용자들은 KYC 규정이 실질적인 혜택 없이 위험만 증가시켰다고 지적하며 격앙된 반응을 보였습니다. 특히, 마크 젤러(Marc Zeller)와 같은 인물은 자신의 데이터를 리볼트가 유출했다며, KYC가 의미 있는 이득을 창출하지 못하고 오히려 많은 사람들을 위험에 빠뜨렸다고 강하게 비판했습니다.

이번 리볼트의 데이터 유출 사건은 암호화폐 업계의 개인 정보 보안에 대한 심각한 경고를 보내고 있습니다. 특히, 고객 자산을 안전하게 보호해야 하는 금융 서비스 제공업체가 어떻게 외부 사기에 취약할 수 있는지를 보여주는 사례입니다. 이러한 사건은 고객들의 신뢰를 크게 훼손할 뿐만 아니라, 관련 규제 당국의 감독 강화로 이어질 가능성이 높습니다. 암호화폐 사용자들은 자신의 개인 정보와 자산을 안전하게 보호하기 위해 더욱 신중한 접근이 요구될 것으로 보입니다. 리볼트와 같은 핀테크 기업들은 앞으로 더욱 강력한 보안 시스템 구축과 철저한 신원 확인 절차를 통해 이러한 사고를 예방해야 할 과제를 안게 되었습니다.