리볼루트 고객 정보 유출: 확인된 사실, 300만 달러 요구의 실체

리볼루트는 정상적인 정부기관 이메일 도메인에서 발송된 것처럼 보이는 허위 요청을 받고, 민감한 고객 정보를 무단 제3자에게 제공했다고 확인했다. 회사는 이를 핵심 시스템 침해가 확인된 사건이 아니라 외부 사칭·사회공학 공격으로 규정했다. 12

한편 자신들을 **‘iamnotavillain’**이라고 부르는 세력은 공개적으로 몸값을 요구했다. 그러나 핵심적인 단서가 있다. 리볼루트는 로이터에 해당 세력으로부터 직접적인 연락이나 몸값 요구를 받은 적이 없다고 밝혔다. 2

리볼루트가 확인한 내용

로이터가 보도한 리볼루트 성명에 따르면, 사기범들은 실제 정부기관의 이메일 도메인을 이용해 고객 정보 제공을 요청하는 기만적 메시지를 보냈다. 리볼루트는 사기임을 파악하기 전 민감 정보를 무단 제3자에게 제공했다. 1

리볼루트는 영향을 받은 고객에게 통지했으며, 처음에는 피해 규모가 “매우 제한적”이라고 설명했다. 이후 로이터는 약 680명이 관련된 것으로 알려졌다고 보도했다. 다만 이 수치는 리볼루트가 최초 공개 성명에서 직접 밝힌 숫자는 아니다. 12

영향을 받은 고객에게 발송된 통지를 토대로 한 보도에서는 생년월일, 주소, 전화번호와 신분증 사본 등 신원·연락처 정보가 노출됐을 수 있다고 전했다. 테크크런치는 본인 확인용 셀피, 계좌 명세서 및 기타 계정 관련 자료도 포함됐을 가능성이 있다고 보도했다. 5

리볼루트의 시스템이 해킹됐나

리볼루트의 설명과 사안에 정통한 소식통의 발언에 따르면, 리볼루트의 핵심 인프라, 데이터베이스, 고객 계정은 해킹되지 않았다. 리볼루트도 자사 시스템과 고객 자금은 영향을 받지 않았다고 밝혔다. 12

이는 중요한 구분이다. 현재 확인된 사건은 계정 시스템이나 데이터베이스에 기술적으로 침입한 사실이 확인된 사례가 아니라, 사기성 요청에 속아 데이터가 제공된 사례다. 다만 공개 보도만으로 사건의 모든 기술적 세부 경위가 독립적으로 규명된 것은 아니므로, 범위를 과장해서는 안 된다. 12

보도된 300만 달러 요구

로이터에 따르면, 파이낸셜타임스는 사건의 배후라고 주장하는 이들이 리볼루트가 24시간 안에 300만 달러를 지급하지 않으면 수백 명 고객의 기밀 기록을 다른 범죄 집단에 팔겠다고 위협했다고 보도했다. 2

다른 보도들은 요구 금액을 당시 약 300만 달러 상당의 모네로(XMR) 6,000개로 전했으며, 요구 주체로 ‘iamnotavillain’을 지목했다. 이들은 카운트다운 시계와 함께 온라인에 최후통첩을 게시했고, 협상은 없었다고 주장한 것으로 전해졌다. 46

다만 이는 공격자로 추정되는 측의 주장 또는 그 주장에 근거한 보도다. 이들이 실제 배후인지, 주장하는 전체 기록을 보유하고 있는지, 위협한 판매를 실행할 능력이 있는지를 입증하지는 않는다. 리볼루트가 직접적인 요구를 받은 적이 없다고 밝힌 점도 이 공개 최후통첩의 실제 상태를 더 불확실하게 만든다. 26

확인된 사실과 아직 확인되지 않은 주장

리볼루트 성명 및 주요 보도로 뒷받침되는 내용

• 정상 정부기관 이메일 도메인에서 온 것처럼 보이는 허위 요청 때문에 민감한 고객 정보가 무단 제3자에게 제공됐다. 1
• 리볼루트는 자사 시스템과 고객 자금에 영향이 없었다고 밝혔다. 1
• 로이터는 리볼루트가 배후를 자처한 이들로부터 직접 연락이나 몸값 요구를 받지 않았다고 보도했다. 2
• 보도상 영향 고객 수는 약 680명이다. 24

아직 검증되지 않았거나 공격자 측 주장에 의존하는 내용

• ‘iamnotavillain’이 실제로 이번 정보 유출의 배후인지 여부. 26
• 이들이 주장하는 전체 데이터 기록을 실제 보유하고 있는지 여부. 26
• 데이터가 이미 판매·공유됐거나 다른 범죄 집단에 이용됐는지 여부. 2
• 허위 요청이 신뢰할 만한 공식 요청처럼 보이게 된 기술적·운영상의 전체 과정. 12

결론

현재 증거가 뒷받침하는 결론은 범위가 더 좁지만 결코 가볍지 않다. 리볼루트는 실제 정부기관 도메인에서 온 것처럼 보인 허위 요청에 속아 민감한 고객 정보를 제공했다. 반면 회사는 핵심 인프라나 고객 계정이 침해됐다는 주장은 부인하고 있다. 12

300만 달러 상당의 모네로 요구, 24시간 기한, 카운트다운 시계, ‘iamnotavillain’이라는 명칭은 공개적으로 보도됐지만 모두 공격자로 추정되는 측과 연결된 주장이다. 독립적인 검증이 이뤄질 때까지는, 리볼루트가 확인한 정보 제공 사건과 별개로 구분해 볼 필요가 있다. 26