리볼루트 데이터 유출: ‘정부기관 메일’ 사칭 요청이 고객 기록을 빼냈다

리볼루트가 확인한 내용

리볼루트는 정상적인 정부기관 이메일 도메인에서 발송된 사기성 정보 제공 요청을 처리하는 과정에서, 민감한 고객 정보가 무단 제3자에게 넘어갔다고 9월 12일 밝혔다. 회사는 이를 ‘정교한 외부 사칭 사기’로 규정했으며, 탐지 뒤 해당 주소를 차단하고 관계 당국에 알렸다고 설명했다. 영향받은 고객에게는 직접 통지했다고 했다. 13448

중요한 구분도 있다. 현재까지 나온 보도만으로는 공격자가 리볼루트의 핵심 은행 인프라를 뚫었거나 고객 자금에 접근했다는 근거는 없다. 리볼루트 역시 자사 시스템과 고객 자금은 영향을 받지 않았다고 밝혔다. 다만 민감한 외부 요청을 검증하는 절차가 속았다는 사실은 확인됐다. 134

‘진짜 도메인’이 왜 문제였나

확인된 핵심은 공격자가 실제 정부기관 도메인에 속한 이메일 주소를 이용했다는 점이다. 발신 도메인이 기술적으로 정상으로 보이면, 법 집행기관이나 행정기관의 정보 요청을 처리하는 담당자가 이를 통상적인 공식 요청으로 받아들일 가능성이 커진다. 135

일부 후속 보도는 발신 경로가 이탈리아의 PEC(공인 전자우편) 인프라, 구체적으로 내무부의 pec.interno.it 도메인과 연관됐다고 전했다. PEC는 이탈리아에서 법적·행정적 용도로 널리 쓰이는 인증 전자우편 체계다. 그러나 이 연관성은 리볼루트나 이탈리아 당국이 독립적으로 확인한 내용이 아니므로, 확정된 공격 경로가 아니라 보도된 단서로 봐야 한다. 37

이 사건이 남긴 교훈은 분명하다. 정부기관처럼 보이는 이메일 도메인은 확인이 필요한 단서일 뿐, 민감한 개인정보 제공 요구가 정당하다는 증거 자체는 아니다. 회사는 기존에 확보한 기관 연락처로 별도 확인하고, 고위험 자료 제공에는 추가 승인 절차를 둬야 한다.

피해 규모: ‘매우 제한적’이라는 회사 설명, 약 680명이라는 보도

리볼루트는 처음에는 피해 고객이 ‘매우 제한적’이라고만 밝혔고, 구체적인 인원은 공개하지 않았다. 1

이후 보도에서는 전 세계 약 680명이 영향을 받은 것으로 추정됐으며, 이 가운데 아일랜드 고객 12명이 포함됐다고 전해졌다. 다만 이는 리볼루트가 최초 발표에서 직접 확인한 숫자가 아니라 후속 보도에 따른 수치다. 33

공격자가 약 6개월 동안 이탈리아 법 집행기관 시스템에 접근해 정보를 요청했다는 주장도 나왔다. 그러나 이는 해당 위협 행위자의 주장일 뿐, 리볼루트나 당국이 확인한 조사 결과는 아니다. 3637

어떤 정보가 유출됐을 수 있나

테크크런치가 확인한 피해자 통지문에 따르면, 제공된 정보에는 생년월일, 우편 주소, 이메일 주소, 전화번호 같은 신원·연락처 정보와 여권 또는 운전면허증 사본이 포함됐다. 인증용 셀피, 계좌 명세서, 거래 내역도 포함됐을 가능성이 있다. 35

다른 보도에서는 IBAN(국제 은행계좌번호), 출금 기록, 비트코인 거래 활동도 공격자에게 넘어간 자료에 포함됐다고 전했다. 510

이런 정보의 조합은 특히 민감하다. 신분증은 타인 사칭이나 계정 복구 사기에 악용될 수 있고, 연락처 및 금융 정보는 실제 개인정보를 알고 있는 것처럼 꾸미는 정교한 피싱을 가능하게 한다.

비트코인 거래 내역이 더 큰 위험이 되는 이유

실명, 주소, 신분증, 본인 인증 셀피와 비트코인 거래 이력이 결합되면, 현실 세계의 검증된 신원과 공개 블록체인에서 확인 가능한 활동을 연결하기가 쉬워질 수 있다. 1035

그렇다고 모든 지갑이나 앞으로의 모든 거래가 자동으로 특정 개인에게 귀속되는 것은 아니다. 그러나 이 조합은 표적 피싱, 신원 도용, 협박, 암호자산 보유자로 추정되는 이용자를 노린 사기의 위험을 높일 수 있다. 비밀번호와 달리 신분증 정보나 과거 블록체인 기록은 유출 후 단순히 교체할 수 없다는 점도 문제다.

유출 게시와 1만 BTC 요구 주장

공격자들이 고객 자료를 공개하기 시작했고 추가 공개를 위협했다는 보도가 나왔다. 테니스 선수 알렉산더 셰브첸코와 온라인 암호화폐 카지노 감돔(Gamdom)의 최고경영자 펠릭스 뢰머 자료로 추정되는 파일이 언급됐으며, 코인텔레그래프는 뢰머가 자신의 정보가 유출물에 포함된 뒤 입장을 냈다고 보도했다. 2

1만 BTC를 요구했다는 주장도 유통됐다. 당시 가치로 약 7억8,000만 달러 규모다. 하지만 리볼루트와 수사기관은 이 요구를 확인하지 않았다. 따라서 이는 확인된 몸값 협상이 아니라, 검증되지 않은 갈취 주장으로 다뤄야 한다. 1213

통지를 받은 고객이 할 일

리볼루트에서 통지받은 고객은 해당 안내를 보관하고, 리볼루트의 공식 채널을 통해 후속 지침을 확인하는 것이 좋다. 특히 자신의 개인정보를 정확히 언급하거나, 리볼루트·규제기관을 사칭하면서 계정 보안을 이유로 급박한 행동을 요구하는 연락은 경계해야 한다.

권장할 만한 조치는 다음과 같다.

• 리볼루트와 이메일 계정에서 다른 서비스와 중복 사용한 비밀번호가 있다면 변경하고, 가능한 가장 강력한 다중 인증을 설정한다.
• 이름·주소 등 실제 개인정보를 알고 있는 전화, 문자, 이메일이라도 일단 의심한다.
• 일회용 인증번호, 복구 코드, 암호화폐 시드 문구를 전화나 메시지 상대에게 절대 알려주지 않는다.
• 은행·카드·암호화폐 거래소 계정에서 예상하지 못한 활동이 있는지 점검하고, 수상한 연락은 기록해 둔다.
• 신분증 사본이 노출됐을 가능성이 있다면 카드 재발급만으로 위험이 끝났다고 보지 말고, 장기적인 신원 도용 가능성에 대비한다.

영국 정보위원회(ICO)는 개인정보를 안전하게 보호하지 못한 기관이 있다고 우려되는 경우 우선 해당 기관에 연락하라고 안내하며, 개인정보 보호 관련 공적 지원 창구도 제공한다. 23

금융회사가 배워야 할 점

민감한 정부기관·수사기관 요청은 발신 도메인만 확인하는 방식으로는 충분하지 않다. 신뢰할 수 있는 기관 연락처를 통한 독립적인 콜백 확인, 고위험 정보 제공 시 복수 승인, 최소한의 정보만 제공하는 원칙, 요청 기록의 감사 가능성, 권위를 앞세운 사회공학 공격을 식별하는 절차가 필요하다.

이용자에게도 핵심은 같다. 그럴듯한 공식 이메일 주소는 믿어야 할 증명이 아니라, 별도로 검증해야 할 신호다. 신원 자료와 금융 이력이 함께 노출된 사고에서는 최초 정보 제공 자체보다 이후의 표적 사기 피해가 더 클 수 있다.

아직 밝혀지지 않은 부분

제공된 자료가 뒷받침하는 사실은 리볼루트가 정상 정부기관 도메인에서 온 사기성 요청에 응답해 고객 정보를 제공했고, 회사 설명상 핵심 시스템과 고객 자금은 영향을 받지 않았다는 점이다. 1

반면 PEC 인프라의 정확한 역할, 약 6개월이라는 공격 기간, 전체 피해자 수, 공격자의 이탈리아 기관 시스템 접근 주장, 영국 규제기관의 구체적 집행 조치 여부는 아직 확정되지 않았다. 공식 확인 전에는 이런 내용을 기정사실로 표현해서는 안 된다. 133637