Revolut, 해킹 없이 사기꾼에게 여권 넘겨줘——가짜 정부 이메일 한 통이면 충분

Revolut은 해킹당하지 않았다. 누구도 그 방화벽을 뚫거나 코드에서 취약점을 찾아낸 것이 아니다. 대신 공격자가 합법적인 공식 도메인을 사용하는 이메일 주소로 정부 기관을 사칭해, Revolut의 확인 절차를 통과한 데이터 공개 요청을 제출했고, 전체 신분증, 여권 사본, 가입 과정에서 제출한 셀카, 그리고 영향을 받은 사용자의 전체 계정 내역 — 기록된 모든 비트코인 거래 내역을 포함하여 — 를 빼돌렸다.

이 공격은 소프트웨어 결함이 아니라 법적 의무를 악용한 것이다. 금융 플랫폼은 법적으로 정부 기관 및 법 집행 기관의 공식 데이터 요청에 응답해야 한다. 공격자는 Revolut의 검토를 통과할 정도로 그 요청을 설득력 있게 위조함으로써, 대중을 보호하기 위해 마련된 규정 준수 절차를 데이터 도난의 도구로 변모시켰다. Revolut은 해당 요청을 관련 당국에 독립적으로 확인하려 했지만, 사칭은 데이터가 이미 공유된 후에야 발견됐다고 밝혔다.

영향을 받은 계정의 경우, 이번 유출은 일반적인 침해보다 더 심각하다. 도난된 데이터는 완전한 신원 확인 정보(법적 이름, 생년월일, 주소, 여권 또는 운전면허증 사본, 계정 확인 시 제출한 셀카)를 비트코인 지갑 참조 정보 및 완전한 온체인 거래 기록과 연결한다. 그 조합은 만료되지 않는다. 영향을 받은 사용자가 새 지갑을 열더라도, 유출된 데이터를 가진 사람은 이전 코인 이동 내역을 확인된 실제 신원으로 추적할 수 있으며, 이는 영구적이다.

Revolut은 생체 얼굴 측정 데이터(얼굴 자동 매칭에 사용되는 시스템 기반 템플릿)는 포함되지 않았으며, 오직 가입 시 촬영한 원본 사진만 유출됐다고 밝혔다. 고객 자금은 영향을 받지 않았다. 회사는 사기성 이메일 주소를 차단하고, 도용된 정부 기관에 통보했으며, 법 집행 기관에 신고하고, 필요한 규제 보고를 제출했다. 유럽 데이터 보호 규제 기관이 그 대응을 적절하다고 판단할지는 미지수다: GDPR은 기업이 유출된 종류의 신분 문서를 어떻게 처리하고 보호해야 하는지에 대해 엄격한 의무를 부과한다.

이번 사건은 기술적 보안만으로는 막을 수 없는 공격 유형을 지적한다. 기업은 데이터베이스를 암호화하고, API를 감사하며, 침투 테스트를 실행할 수 있다. 그러나 법적으로 따라야 하는 절차를 통해 사회공학적으로 침해당할 수 있다. 문제는 Revolut의 코드가 아니다. 문제는 공식 표시가 있는 요청이 실제로 그 기관을 대표하는 공무원으로부터 온 것인지 조직이 어떻게 확인할 수 있는지에 대한 해결되지 않은 질문이다.

Revolut은 영향을 받은 고객에게 직접 통보했으며, 총 관련 계정 수나 유출이 발생한 특정 시장을 공개하지 않았다. 침해 통보를 받은 사람의 경우, 사기범의 손에 들어간 신분 문서는 플랫폼 자체를 넘어 사기로 이어질 수 있다 — 여권 위조 사용, 실제 계정 정보를 참조한 피싱 전화, 금융 서비스 전반에 걸친 신원 도용. 그리고 비트코인 기록은 또 다른 종류의 문제다: Revolut은 비밀번호를 재설정할 수 있지만, 아무도 블록체인을 재설정하지는 않는다.

태그: data breach, fintech, Revolut, social engineering