암호화폐 하드웨어 지갑 제조사 Trezor가 물류 협력업체 ShipMonk의 침해 사고로 미국 고객 67,000명 이상의 이름·이메일·전화번호·배송 주소 등 개인정보가 유출됐다고 밝혔습니다. 공격자는 Metabase에서 발견된 제로데이 SQL 인젝션(데이터베이스에 악성 명령을 삽입하는 공격) 취약점인 CVE-2026-72898(CVSS 10.0)을 악용했으며, CISA KEV(실제 악용이 확인된 취약점 목록)에도 등재된 심각한 결함입니다. 특히 Trezor는 계약에 따라 ShipMonk로부터 데이터 삭제 확인을 서면으로 받았음에도, 실제로는 데이터가 삭제되지 않아 피해가 확대됐습니다. ShinyHunters라는 해킹 조직이 배후로 지목됐으며, 유출된 정보를 악용한 피싱·사칭 전화·우편 사기 등 2차 공격에 각별한 주의가 필요합니다.
Trezor의 물류 협력업체 ShipMonk가 Metabase의 제로데이 SQL 인젝션 취약점(CVE-2026-72898, CVSS 10.0)을 통해 침해당해 미국 고객 67,000명 이상의 개인정보가 유출됐다. ShinyHunters 공갈 조직이 배후로 알려졌다.
이름·이메일·전화번호·배송 주소·주문 번호 등 개인정보가 노출돼 피싱, 사칭 전화, 실물 우편 사기 등 2차 공격 위험이 높아졌다. 하드웨어 지갑 자체의 보안에는 영향이 없다.
ShipMonk가 사용하던 Metabase 인스턴스의 CVE-2026-72898 제로데이 취약점이 악용됐으며, Trezor가 계약상 서면 삭제 확인을 받았음에도 ShipMonk가 실제로 데이터를 삭제하지 않아 피해 규모가 확대됐다.
ShipMonk는 침해 시스템을 보호하고 보안을 강화했으며, Trezor는 영향받은 고객에게 직접 침해 사실을 통보하고 소셜 엔지니어링 공격에 유의할 것을 경고했다.
Metabase를 사용하는 조직은 CVE-2026-72898 패치를 즉시 적용해야 한다. 제3자 공급업체와의 계약에 데이터 삭제 조항을 포함하되, 서면 확인만으로는 부족하며 기술적 검증 수단을 별도로 마련해야 한다.
본문
Ravie Lakshmanan · 2026년 9월 5일 · 데이터 침해 / 취약점
하드웨어 지갑 제조사 Trezor는 금요일, 물류 협력업체 ShipMonk에서 발생한 침해 사고로 미국 고객 67,000명이 추가로 피해를 입었다고 공개했다.
유출된 정보에는 2019년 11월부터 2021년 8월 사이의 고객 이름, 이메일 주소, 전화번호, 배송 주소, 주문 번호가 포함된다. 이번 침해는 회사의 하드웨어 지갑 보안에는 영향을 미치지 않는다.
"ShipMonk와의 전체 계약 기간 동안 우리는 계약 및 데이터 정책, 과거 커뮤니케이션에 따라 반복적으로 데이터 삭제를 요청했고 서면 확인을 받았습니다"라고 Trezor는 밝혔다. "이러한 확인을 받았음에도 불구하고 실제로는 그들의 시스템에서 데이터가 삭제되지 않았다는 사실에 매우 실망하고 있습니다."
이번 유출은 지난달 공개된 13,689명 고객의 데이터 전부 또는 일부 노출 사건에 더해 발생한 것이다. 당시 침해는 90일 데이터 보관 정책 기간 내로 한정된다고 밝혔다.
Trezor에 따르면 ShipMonk는 2026년 8월 10일 시스템에 대한 무단 접근이 발생한 이후 이 사실을 Trezor에 통보했다. 이어 이름, 도시, 이메일 주소(배송 주소 제외)만 노출된 1,947명 고객에는 더 오래된 주문이 포함될 수 있다고 밝혔다.
"저희는 Trezor eShop에서 이루어진 구매와 관련된 모든 고객 데이터를 90일 후 삭제하거나 익명화합니다"라고 회사는 밝혔다. "90일을 기준으로 삼은 이유는 배송, 반품, 환불 또는 교체를 포함한 주문 전체 수명 주기를 커버하는 가장 짧은 기간이기 때문입니다. 이후에는 주소나 전화번호를 보관할 이유가 없습니다."
ShipMonk는 아직 이 사건을 공개적으로 인정하지 않고 있다. 이 물류 회사는 Metabase의 심각한 SQL 인젝션 취약점인 CVE-2026-72898(CVSS 점수: 10.0)의 제로데이 악용이 수반된 침해 이후 영향받은 시스템을 보호하고 보안을 강화한 것으로 알려졌다.
엔터프라이즈 블록체인 보안 기업 Holborn에 따르면, ShinyHunters 공갈 조직이 이번 침해의 배후로 알려졌다. Trezor는 영향받은 고객에게 직접 통보했다고 밝혔다.
그러나 Trezor는 악의적 행위자가 유출된 정보를 이용해 피싱 이메일이나 우편 발송, 허위 전화, 심지어 회사를 사칭한 이메일로 대상자를 의도치 않은 행동으로 유도할 수 있다며 소셜 엔지니어링 공격과 사기에 주의할 것을 경고했다.
"유출된 정보는 사기 이메일, 허위 전화나 우편 발송에 악용될 수 있으며, 피해 개인을 물리적 보안 위험에 노출시킬 가능성도 있습니다"라고 Trezor는 밝혔다.
Holborn은 이번 소프트웨어 공급망 공격이 전반적인 보안 태세 관리를 위해 조직이 제3자 위험 노출 전반에 대한 완전한 가시성을 확보해야 할 필요성을 부각시킨다고 말했다.
"Trezor 침해는 제로데이 취약점으로 시작된 공급망 공격의 결과입니다"라고 밝혔다. "공격자들은 Metabase의 SQL 인젝션 취약점을 발견하고 악용함으로써 여러 고객사를 공격해 민감한 데이터를 탈취하고 조직을 협박할 수 있었습니다."
"Trezor의 경우, 이는 ShipMonk의 Metabase 인스턴스에 저장된 고객 주문 상세 정보의 유출을 의미했습니다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
