트레저, 미국 고객 6만7000명 추가 유출…ShipMonk 사고 규모 8만명 넘는다

하드웨어 지갑 제조사 트레저(Trezor)가 배송 파트너 ShipMonk 해킹으로 인한 고객정보 유출 규모가 처음 알려진 것보다 훨씬 크다고 9월 4일(현지시각) 밝혔다. 트레저는 미국 고객 약 6만7000명이 추가로 유출 피해를 입었다고 발표했다. 유출된 정보는 2019년 11월부터 2021년 8월까지 주문한 고객의 이름, 이메일, 전화번호, 배송주소, 주문번호다. 트레저는 ShipMonk로부터 해당 데이터를 삭제했다는 서면 확인까지 받았지만 실제로는 삭제되지 않은 채 남아 있었다고 설명했다. 이번 발표로 전체 피해 규모는 8만 명을 넘어설 수 있다는 관측이 나온다.

6만7000명 추가 유출, 8월 발표보다 규모 커져

트레저는 8월 13일(현지시각) 처음 ShipMonk 유출 사고를 공개하며 미국·영국·스웨덴·콜롬비아·브라질·이탈리아·포르투갈 고객 총 1만3689명의 정보가 노출됐다고 밝혔다. 이 중 1만1742명은 이름·이메일·전화번호·배송주소가 모두 유출됐고, 나머지 1947명은 이름·거주 도시·이메일만 노출됐다.

9월 4일 트레저는 미국 고객 약 6만7000명이 추가로 영향을 받았다고 다시 발표했다. 새로 확인된 기록은 2019년 11월부터 2021년 8월 사이 주문 건으로, 처음 공개된 5월부터 8월 사이 주문 건과는 시기가 전혀 다르다. 트레저는 두 차례 발표를 합산한 공식 수치를 내놓지 않았지만, 두 규모를 더하면 전체 피해자가 8만 명을 넘어설 수 있다.

ShipMonk “삭제했다”더니 실제로는 데이터 보관

트레저는 ShipMonk와 계약을 이어오며 데이터 삭제를 반복해서 요청했고, 실제로 삭제됐다는 서면 확인까지 받았다고 밝혔다. 트레저는 “ShipMonk와의 전체 협력 기간 동안 계약과 데이터 정책, 과거 소통 내용에 따라 데이터 삭제를 확인하는 서면 보증을 반복적으로 요청하고 받았다”고 설명했다. 이어 “이런 확인을 받았음에도 실제 시스템에서는 데이터가 삭제되지 않았다는 사실에 매우 유감스럽다”고 덧붙였다.

ShipMonk가 트레저에 상황을 알린 시점도 단계적이었다. 트레저에 따르면 ShipMonk는 8월 10일(현지시각) 최근 90일 내 주문 건에 한정된 초기 유출 사실을 알렸다. 이후 9월 2일(현지시각) ShipMonk는 유출 범위가 실제로는 2019년부터 2021년까지 확대된다고 다시 통보했다. 트레저는 “2019~2021년 당시 협력 관계에서 발생한 데이터가 처음 범위를 설정할 때 누락된 것으로 이해하고 있다”고 전했다. 트레저는 ShipMonk의 반복된 보증 때문에 추가 유출을 예상할 “이유가 없었다”고 프로토스(Protos)에 말했다.

지갑 자체는 안전…신상정보 노출로 피싱·물리적 위험 우려

트레저는 이번 유출로 하드웨어 지갑 기기 자체나 개인 키, 지갑 백업 정보는 영향을 받지 않았다고 강조했다. 회사는 “우리 시스템은 침해되지 않았고 트레저 기기는 안전하다”고 밝혔다. 다만 이름·배송주소·전화번호 등 신상정보가 유출된 만큼 피싱과 사칭 범죄에 악용될 위험이 있다.

트레저는 “범죄자들이 유출된 정보를 이용해 가짜 이메일을 보내거나 가짜 전화를 걸고, 사기 우편을 발송하거나 은행·거래소·심지어 트레저를 사칭할 수 있다”고 경고했다. 특히 자택 주소가 노출된 점을 두고 “피해자들이 물리적 안전 위험에 노출될 수 있다”고 우려했다. 트레저는 “2013년 설립 이래 고객의 전화번호와 배송주소까지 노출된 유출 사고는 이번이 처음”이라고 밝혔다.

반복되는 유출 사고…추가 감사 착수

트레저 고객정보가 제3자를 통해 유출된 것은 처음이 아니다. 트레저에 따르면 2024년 1월에도 2021년 12월 이후 고객지원 데스크에 문의한 이용자 약 6만6000명이 보안 사고로 피싱 위험에 노출된 적이 있다. 하드웨어 지갑 업계에서 유사한 사례도 있었다. 경쟁사 레저(Ledger)는 2020년 전자상거래·마케팅 데이터베이스가 침해돼 이메일 주소 100만 개 이상과 고객 약 1만 명의 개인 연락처 정보가 유출된 바 있다.

트레저는 프로토스에 ShipMonk의 대응에 어떤 조치를 취할지 결정하기엔 아직 이르며, 배송 파트너에 대한 추가 감사를 준비하고 있다고 밝혔다. 트레저는 지난 유출 때는 프로토스에 먼저 세부 내용을 알렸지만 이번에는 그러지 않았다며 “이미 공개된 정보이고 숨길 것이 없다. 우리의 최우선 과제는 실제로 영향을 받은 사람들에게 연락하는 것”이라고 설명했다. 회사는 향후 익명 배송 체계를 신속히 도입해 주문 시 개인정보 노출을 최소화하겠다고 덧붙였다.