레볼루트가 위장된 정부기관 이메일에 속아 이용자 정보를 유출했어요. 여권 사본, 인증 셀피, 비트코인 거래내역까지 통째로 넘어갔습니다. 고액 자산가를 노린 표적 공격 가능성에 '렌치 공격' 우려도 커졌어요.
핀테크 업계에서 오늘 좀 무서운 뉴스가 하나 나왔어요. 유럽 최대 핀테크 중 하나인 레볼루트(Revolut)가 정부기관의 '진짜' 이메일 도메인을 사칭한 사기성 정보 요청에 속아서, 일부 고객의 민감정보를 그대로 넘겨준 사실이 드러났습니다. 오늘(9월 12일) 이용자들에게 통지 이메일이 발송되면서 알려졌어요.
이게 왜 무서우냐면, 공격자가 실제 정부기관의 이메일 도메인 자체를 탈취해서 요청을 보냈다는 점이에요. 도메인 인증(SPF/DKIM 같은) 절차를 그대로 통과했다는 뜻이라, 레볼루트 입장에서는 형식적으로는 '진짜 기관의 정당한 요청'처럼 보였을 가능성이 큽니다. 레볼루트 측은 이번 사건을 "정교한 외부 사칭 사기"라고 설명했어요.
유출된 정보 목록이 꽤 광범위해요. 이름, 생년월일, 주소, 전화번호 같은 기본 신상정보는 물론이고 여권·운전면허 사본, 본인인증용 셀피, 계좌 개설일과 IBAN, 출금 기록, 그리고 완전한 거래내역까지 포함됐다고 합니다. 특히 비트코인 거래내역이 통째로 넘어갔다는 부분이 크립토 커뮤니티에서 난리인데요, 온체인 조사관으로 유명한 ZachXBT는 "이번 유출이 자산 규모가 큰 레볼루트 이용자들을 노렸을 가능성이 있다"고 지적했어요. 실제로 최근 크립토 자산가를 대상으로 한 오프라인 강도·납치 사건, 이른바 '렌치 공격(wrench attack)'이 꾸준히 늘고 있는 상황이라 이번 유출이 실물 범죄로 이어질까 봐 걱정하는 목소리도 많습니다.
레볼루트는 영향을 받은 고객 수를 구체적으로 밝히진 않고 "제한적인 수"라고만 설명했어요. 사기 이메일 계정은 차단했고, 피해 고객에게는 개별 통지를 했으며, 시스템과 고객 자금 자체는 영향을 받지 않았다고 선을 그었습니다. 관련 정부기관, 사법당국, 개인정보보호 감독기구, 금융 규제당국에도 알렸다고 하고요.
근데 솔직히 이 사건이 던지는 질문은 레볼루트 하나에 그치지 않는다고 봐요. 핀테크 업체들이 KYC(고객확인) 규제를 지키려고 정부기관 요청에 신속하게 응대하는 프로세스를 갖추고 있는 게 당연한데, 그 프로세스 자체가 이번처럼 도메인 스푸핑에 뚫리면 방어선이 통째로 무력화된다는 거예요. 특히 크립토 자산을 취급하는 핀테크는 거래내역이 곧 '누가 얼마를 가졌는지'에 대한 지도나 마찬가지라서, 유출 파급력이 일반 은행 정보 유출보다 클 수 있습니다.
레볼루트는 유럽에서 5천만 명 넘는 고객을 보유한 대형 핀테크고, 은행업 라이선스 확장과 기업가치 확대를 동시에 노리는 시점이라 이번 사건이 평판에 미칠 타격도 지켜볼 부분이에요. 규제당국이 어떤 후속 조치를 내놓을지, 그리고 비슷한 방식의 정부기관 사칭 공격이 다른 핀테크·거래소로 번질지도 계속 확인해봐야 할 것 같습니다.
출처