핀테크 기업 Revolut이 정부 기관을 사칭한 공격자에게 고객 개인정보를 유출하는 데이터 침해 사고를 공개했습니다. 공격자는 실제 정부 기관의 이메일 도메인을 이용해 인증을 통과한 뒤 고객 정보를 요청했고, Revolut은 이를 합법적인 요청으로 믿고 응했습니다. 유출된 정보에는 이름·생년월일·주소·전화번호·직업 외에도 여권과 운전면허증 사본, 셀피(얼굴 인증 사진), IBAN 계좌번호, 출금 기록, 비트코인 거래 내역까지 포함되어 있습니다. 영향받은 고객 수는 "매우 제한적"이라고 밝혔으나 정확한 수치는 공개하지 않았으며, 크립토 사기 조사관은 고액 자산가를 표적으로 한 공격으로 보인다고 분석했습니다. Revolut은 해당 이메일 주소를 즉시 차단하고 관계 당국에 신고했으며, 시스템과 고객 자금에는 피해가 없다고 밝혔습니다.
공격자가 실제 정부 기관의 이메일 도메인을 사용해 Revolut에 고객 정보를 요청했고, 유효한 도메인 인증 자격증명 덕분에 요청이 승인되어 고객 PII(개인식별정보)가 유출되었다.
유출 항목: 성명·생년월일·직업·주소·이메일·전화번호·여권 및 운전면허증 사본·얼굴 인증 셀피·IBAN·출금 기록·비트코인을 포함한 전체 거래 내역. 영향받은 고객 수는 '매우 제한적'이나 고액 자산가가 표적이 된 정황이 있다.
공격자가 정부 기관의 공식 이메일 도메인으로 발송한 요청이 도메인 인증(SPF/DKIM 등)을 통과함으로써 Revolut 내부 절차를 우회했다.
Revolut은 해당 이메일 주소를 즉시 차단하고 관련 정부 기관, 수사 당국, 개인정보 보호 당국, 금융 규제 당국에 신고했다. 영향받은 고객에게 개별 이메일로 통보했다.
정부·규제기관 명의의 데이터 요청이라도 이메일 도메인 인증만으로 신뢰하면 안 된다. 공식 채널(전화·레터헤드 공문 등)을 통한 이중 확인(out-of-band verification) 절차를 법적 요청 처리 프로세스에 반드시 포함해야 한다.
본문
핀테크 기업 Revolut이 정부 기관을 사칭한 위협 행위자와 정보를 공유한 뒤 미공개 수의 고객 정보가 유출된 데이터 침해 사고를 공개했습니다.
Revolut은 160개국 이상에서 운영되며 전 세계 8,000만 명 이상의 고객(기업 고객 80만 명 포함)에게 뱅킹·자산 관리·투자 서비스를 제공하고 있습니다.
영향받은 고객에게 발송된 이메일에서 회사는, 공격자가 정부 기관 도메인을 이용한 이메일로 개인식별정보(PII)를 요청했다고 밝혔습니다.
"Revolut은 합법적인 정부 기관에서 온 것으로 보이는 고객 정보 요청을 받았습니다. 해당 요청은 공식 정부 기관의 이메일 도메인을 직접 사용하여 무단 이메일 계정으로 발송되었습니다"라고 영향받은 고객들에게 전달했습니다. "통신에 유효한 도메인 인증 자격증명이 포함되어 있어, 정식 정부 기관 요청이라는 합리적인 믿음 하에 응했습니다."
Revolut에 따르면 위협 행위자에게 전송된 데이터에는 영향받은 개인의 신원 정보(성명, 생년월일, 직업), 연락처(우편 주소, 이메일, 전화번호), 그리고 신분 증명서 사본(여권 및/또는 운전면허증)과 얼굴 인증 이미지(계좌 개설 시 KYC(고객 신원 확인) 절차에서 제공한 셀피)와 같은 문서 및 인증 데이터가 포함됩니다.
유출된 정보에는 계좌 명세서(IBAN 번호 포함), 출금 기록, 전체 거래 내역(비트코인 거래 포함)도 포함됩니다.
회사는 Reuters에 이번 침해가 "매우 제한적인" 수의 고객에게 영향을 미쳤다고 밝혔으나 정확한 수치 공개는 거부했습니다.
"Revolut 시스템과 고객 자금은 영향을 받지 않았습니다. 탐지 즉시 해당 주소를 차단하고 관련 정부 기관과 수사 기관, 개인정보 보호 당국 및 금융 규제 당국에 신고했습니다"라고 Revolut 대변인이 밝혔습니다.
크립토 사기 조사관 ZachXBT는 주말에 이번 침해가 제한적인 수의 Revolut 고객에게만 영향을 미쳤을 가능성이 높지만 "고액 자산가를 표적으로 한 것으로 보인다"고 말했습니다.
BleepingComputer가 사건에 대한 추가 세부 정보를 요청했을 때 Revolut 대변인은 즉각적인 답변을 하지 않았습니다.
4년 전인 2022년 9월, Revolut은 공격자들이 50,150명의 고객 개인·연락처·금융 정보를 탈취한 또 다른 데이터 침해 사고를 공개한 바 있습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
