리볼루트, 가짜 공문서에 고객 정보 유출…KYC 회의론 확산

영국 기반의 핀테크 기업 리볼루트(Revolut)가 사기범의 정교한 신원 도용 공격으로 인해 일부 고객의 민감한 개인 정보가 유출되는 사고를 겪었다. 이 사건은 금융 회사의 정보 보호 시스템의 허점을 드러냈으며, 고객 신원 확인(KYC) 절차의 실효성에 대한 의문을 다시 불러일으키고 있다.

사고는 사기범이 합법적인 정부 기관의 도메인을 사칭하여 리볼루트에 정보를 요청하면서 발생했다. 국제 사이버 다이제스트(International Cyber Digest)가 X(구 트위터)에 게시한 바에 따르면, 이 가짜 요청은 정상적인 정부 기관의 이메일 주소에서 발신되었기 때문에 리볼루트의 인증 절차를 통과했다. 그러나 리볼루트는 이후 이 요청이 위조된 것임을 확인하고, 정보가 유출된 고객들에게 금요일에 이를 통보했다.

리볼루트 대변인은 토요일 코인텔레그래프와의 인터뷰에서 “리볼루트는 최근 정교한 외부 신원 도용 사기 사건을 인지했다. 무단 제3자가 합법적인 정부 기관의 도메인 이메일을 이용하여 허위 정보 요청을 제출했다”고 밝혔다. 대변인은 또한 사고 탐지 즉시 해당 이메일 주소를 차단하고 관련 정부 기관에 알렸으며, 법 집행 기관 및 금융 규제 당국에도 통보했다고 덧붙였다.

이 사고로 인해 리볼루트의 시스템이나 고객 자금에는 아무런 영향이 없다고 회사는 강조했다. 대변인은 “영향을 받은 소수의 개인에게 직접 연락하여 상황을 알리고 지원을 제공했다”고 말했다. 암호화폐 탐정으로 알려진 ZachXBT는 이번 사건의 규모가 제한적이며 고액 자산가를 대상으로 한 것으로 보인다고 전해졌다.

이번 사건은 X 사용자들 사이에서 큰 파장을 일으켰다. 일부 사용자들은 의무적인 정보 공유 시스템에 대한 비판의 목소리를 높였다. 특히, 마크 젤러(Marc Zeller)는 자신의 모든 데이터가 리볼루트에 의해 유출되었다는 소식을 듣고 “KYC가 의미 있는 성과를 내지 못했으며 많은 사람들을 위험에 빠뜨렸다는 날카로운 경고”라며 불만을 토로했다. 이는 KYC 절차가 범죄 예방 및 고객 보호에 실질적인 기여를 하고 있는지에 대한 근본적인 질문을 던진다.

리볼루트의 이번 보안 사고는 핀테크 기업들이 직면한 정보 보안의 복잡성과 위험성을 다시 한번 부각시킨다. 정부 기관을 사칭하는 고도로 정교한 피싱 및 사회 공학적 기법은 점점 더 정교해지고 있으며, 기업들은 이에 대한 방어 체계를 강화해야 할 필요성이 커지고 있다. 특히, 금융 거래 내역, 신분증 사본, 심지어 본인 인증을 위한 셀피와 같은 민감한 개인 정보는 유출될 경우 심각한 2차 피해로 이어질 수 있다.

이번 사건의 가장 큰 시사점은 KYC 절차의 유효성 문제이다. KYC는 자금 세탁 방지(AML) 및 테러 자금 조달 방지(CTF)의 일환으로 전 세계 금융 기관에 의무적으로 적용되고 있다. 고객의 신원을 확인하는 이 절차는 규제 준수 측면에서는 필수적이지만, 개인 정보 보호와 실질적인 범죄 예방 효과에 대해서는 논란이 끊이지 않았다. 이번 리볼루트 사태는 KYC를 통해 수집된 방대한 양의 개인 정보가 오히려 범죄자들의 손에 들어갈 경우 더 큰 위험을 초래할 수 있다는 점을 보여준다.

리볼루트 측은 사고 발생 후 즉각적인 대응과 고객 통보를 진행했지만, 이미 유출된 정보로 인한 잠재적 위험은 여전히 남아있다. 금융 기관들은 앞으로 이러한 유형의 정교한 공격에 대비하여 더욱 강력한 보안 프로토콜과 비상 대응 계획을 마련해야 할 것이다. 또한, 고객들은 자신의 개인 정보가 어디에 어떻게 사용되고 공유되는지에 대해 더욱 경각심을 가지고 관리할 필요가 있다.

이번 사건은 단순한 기술적 해킹을 넘어, 사회 공학적 수법과 기관 사칭이라는 복합적인 공격이 금융 시스템의 신뢰를 어떻게 흔들 수 있는지를 보여주는 사례로 남을 것이다. 규제 당국 역시 이러한 새로운 유형의 위협에 대응하기 위한 정책 및 기술적 가이드라인을 지속적으로 업데이트해야 할 필요성이 제기된다.