암호화폐 하드웨어 지갑 회사 Trezor의 고객 34만 7천 명의 이메일 주소가 피싱(사기) 공격에 노출됐습니다. 공격자들은 Trezor가 뉴스레터 발송에 사용하는 외부 이메일 서비스 업체 Brevo를 먼저 해킹한 뒤, Trezor 이름으로 가짜 '보안 경고' 이메일을 발송해 사용자들이 악성 앱을 설치하도록 유도했습니다. Trezor는 20분 만에 피싱 도메인을 차단했지만, 그 사이 2,500명이 악성 링크를 클릭한 것으로 확인됐습니다. 이번 사건은 Trezor가 물류 업체 ShipMonk 해킹으로 8만 1천 명의 고객 정보가 유출된 지 얼마 지나지 않아 발생한 것으로, 외부 협력사(서드파티) 보안 관리의 중요성을 다시 한번 일깨워 줍니다. 유출된 이메일 주소는 앞으로도 추가 피싱 공격에 악용될 수 있어 주의가 필요합니다.
공격자가 Trezor의 외부 뉴스레터 발송 서비스 Brevo를 침해해 Trezor 명의로 가짜 '하드웨어 취약점 경고' 피싱 이메일을 34만 7천 명에게 발송했다. 이메일은 사용자의 지갑 복구 시드(seed, 지갑을 복원하는 핵심 비밀 정보) 입력을 유도하는 악성 앱 설치 링크를 포함했다.
347,000개 이메일 주소가 노출됐으며, 2,500명이 악성 링크를 클릭했다. 유출된 이메일 주소는 향후 추가 피싱 공격에 사용될 수 있다. Trezor는 Brevo 계정을 즉시 정지했다.
제3자 이메일 마케팅 플랫폼 Brevo가 해킹당해 Trezor를 포함한 120개 고객 계정이 침해됐다. 공급망(서드파티 서비스) 취약점이 공격 경로가 됐다.
Trezor는 피싱 도메인을 20분 내에 차단하고 Brevo 계정을 정지했다. 고객들에게 피싱 시도 사실을 공개 공지했다.
외부 SaaS·마케팅 플랫폼 등 서드파티 서비스가 침해될 경우 자사 고객 데이터와 커뮤니케이션 채널이 공격 벡터가 될 수 있다. 협력사의 보안 사고 탐지 및 대응 절차, 긴급 계정 정지 프로세스를 사전에 준비해야 한다. 지갑 복구 시드·패스워드·인증 정보를 요구하는 이메일은 출처와 무관하게 절대 응하지 않도록 사용자 교육이 필요하다.
본문
Trezor는 이번 주 초 자사 고객을 대상으로 발생한 피싱 공격이 347,000개의 이메일 주소를 표적으로 삼았으며, 악성 링크를 클릭한 2,500명의 사용자에게 영향을 미쳤다고 밝혔다.
Trezor가 수요일에 경고한 바와 같이, 제3자 이메일 서비스 업체 Brevo를 침해한 위협 행위자들은 뉴스레터 수신에 동의한 고객들에게 이메일을 발송했다.
이번 피싱 캠페인의 표적이 된 고객들에 따르면, help@trezor.io에서 발송된 가짜 '긴급 보안 경고' 이메일을 받았으며, 해당 이메일은 Trezor 콜드 스토리지 지갑의 STM32 마이크로컨트롤러에 존재하는 "하드웨어 마이크로컨트롤러 취약점"으로 인해 시드(seed, 지갑 복구에 사용되는 핵심 비밀 정보)가 무차별 대입 공격(brute-force cracking)에 노출될 수 있다고 주장했다.
피싱 이메일은 수신자가 악성 링크를 클릭하도록 유도했으며, 해당 링크는 지갑 백업을 입력하도록 요구하는 앱을 다운로드하게 만들었다.
Trezor에 따르면, 피싱 공격에 사용된 도메인을 20분 이내에 차단함으로써 링크를 비활성화했으며, 차단 전 링크를 클릭한 2,500명의 피해로 캠페인의 영향을 제한했다.
"2026년 9월 9일, Trezor가 뉴스레터 캠페인에 사용하는 제3자 마케팅 플랫폼 Brevo에서 Brevo 계정 120개에 영향을 미치는 보안 사고가 발생했습니다. 권한 없는 행위자가 Brevo 시스템에 접근해 Trezor 계정을 포함한 여러 고객 계정에서 이메일을 발송하는 데 악용했습니다"라고 회사는 밝혔다.
"이번 사고는 저희 뉴스레터 수신 동의 데이터베이스에 영향을 미쳤으며, 약 347,000개의 이메일 주소가 포함됩니다. 이 주소들은 향후 다른 피싱 공격에 잠재적으로 악용될 수 있습니다. 다른 Trezor 시스템은 전혀 영향을 받지 않았습니다. 저희는 추가적인 이메일 발송을 차단하기 위해 Brevo 계정을 정지했습니다."
2024년 1월, Trezor는 제3자 지원 티켓 포털이 해킹되어 약 66,000명 사용자의 이름, 사용자명, 이메일 주소 등의 데이터를 공격자가 탈취한 또 다른 데이터 침해 사고를 공개한 바 있다.
Trezor는 또한 지난달 위협 행위자들이 물류·배송 업체인 ShipMonk를 심각한 Metabase SQL 인젝션(SQL injection) 제로데이 취약점을 이용해 해킹하고, 전체 이름, 배송 주소, 이메일 주소, 전화번호를 포함한 고객 주문 데이터를 탈취한 데이터 침해 사고도 공개했다.
Trezor는 초기에 해당 사고가 약 14,000명의 고객에게 영향을 미쳤다고 밝혔으나, 후속 조사 결과 추가로 67,000명의 미국 고객이 피해를 입은 것으로 확인되어 총 81,000명이 피해를 입은 것으로 집계됐다.
회사에 따르면, 이번 사고는 2026년 5월 10일부터 8월 8일 사이에 주문을 받은 브라질, 콜롬비아, 이탈리아, 포르투갈, 스웨덴, 영국 고객들에게도 영향을 미쳤다.
이후 BleepingComputer는 침해 사고 이후 ShipMonk가 ShinyHunters 갈취 조직으로부터 협박 이메일을 받은 사실도 확인했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
