영국 핀테크 기업 Revolut에서 고객 개인정보가 유출되는 사고가 발생했습니다. 공격자가 정부 기관을 사칭한 이메일 주소를 이용해 Revolut 측으로부터 고객 데이터를 직접 넘겨받는 수법을 썼습니다. 유출된 정보에는 생년월일, 주소, 전화번호, 여권·운전면허증 사본, 계좌 내역, 비트코인 거래 기록 등이 포함됩니다. Revolut은 피해 고객에게 직접 통보했으며, 사고 인지 즉시 해당 이메일 주소를 차단하고 당국에 신고했습니다. 회사 시스템 자체와 고객 자금은 침해되지 않았다고 밝혔습니다.
공격자가 정부 기관 도메인을 사칭한 이메일 주소로 Revolut 직원을 속여 고객 개인정보를 획득했다. 2026년 9월 12일 Revolut이 공식 확인했다.
생년월일, 주소, 전화번호, 이메일, 여권·운전면허증 사본, 인증 셀카, 계좌 명세서, 거래 내역, IBAN, 비트코인 거래 기록, 직업 정보 등이 유출됐다. 피해 규모는 제한적이나 고액 자산 보유 고객을 표적으로 삼은 것으로 추정된다.
외부 공격자가 정부 기관의 이메일 도메인을 사칭(Business Email Compromise 유사 수법)해 Revolut 내부에서 고객 데이터를 직접 제공받는 사회공학적 기법을 사용했다.
Revolut은 공격 발견 즉시 해당 발신 주소를 차단하고, 사칭된 정부 기관·법 집행 기관·개인정보보호 당국·금융 감독기관에 신고했다. 피해 고객에게는 직접 이메일로 통보했다.
공식 기관 이메일 도메인이라도 실제 발신자를 반드시 검증해야 한다. 금융사 임직원 대상 사회공학 훈련과 고객 데이터 요청 처리 절차의 이중 인증이 필수적이다.
본문
정부 기관을 사칭한 누군가가 해당 기관의 도메인 이메일 주소를 이용해 Revolut으로부터 민감한 고객 정보를 획득했다. Revolut은 9월 12일 토요일 이 사실을 공식 확인했다.
런던에 본사를 둔 이 핀테크 기업은 TechCrunch에 "피해를 입은 고객 수는 제한적이며, 해당 고객들에게 직접 연락했다"고 밝혔다.
Revolut이 피해 고객에게 발송한 이메일 통보문에는 생년월일, 우편 주소, 이메일 주소, 전화번호, 여권·운전면허증 등 신분증 사본이 유출 항목으로 명시됐다. 은행 측은 인증 셀카, 계좌 명세서, 거래 내역도 유출됐을 수 있다고 덧붙였다.
이 통보문을 텔레그램 게시물로 공개한 암호화폐 조사관 ZachXBT는 Revolut이 언급하지 않은 항목들을 추가로 공개했다. IBAN(국제 은행 계좌 번호), 출금 기록, 직업 정보, 비트코인 거래 내역이 그것이다. 그는 사고 규모는 제한적이지만 고액 자산 보유 사용자를 표적으로 삼은 것으로 판단했다.
Revolut은 수법을 탐지한 즉시 발신자 주소를 차단하고, 사칭된 정부 기관과 법 집행 기관, 개인정보보호 당국, 금융 감독기관에 신고했다고 밝혔다. 회사 대변인은 이번 사건을 외부 사칭 사기로 규정하며, 회사 시스템과 고객 자금은 전혀 피해를 입지 않았다고 말했다.
