레볼루트, 정부기관 사칭 이메일에 속아 고객 신원정보 유출

영국 핀테크 은행 레볼루트(Revolut)가 정부기관의 실제 이메일 도메인에서 발송된 위조 정보제공 요청에 속아 고객의 민감 정보를 외부에 넘긴 것으로 나타났다. 더레지스터(The Register)는 14일 레볼루트가 이 같은 공격 사실을 확인했다고 보도했다.

레볼루트 대변인은 "제3자가 정식 정부기관 도메인 이메일을 이용해 허위 정보 요청을 제출한 정교한 사칭 사기를 확인했다"며 "인지 즉시 해당 주소를 차단하고 해당 정부기관과 수사기관, 개인정보·금융 규제당국에 알렸다"고 밝혔다. 회사 측은 시스템과 고객 자금에는 영향이 없으며 피해자에게 개별 연락했다고 덧붙였다. 다만 피해 고객 규모와 해당 정부기관은 공개하지 않았다.

블록체인 추적가 ZachXBT가 공개한 레볼루트의 고객 통지문에 따르면 유출 정보에는 여권·운전면허증 등 계정 등록 시 제출한 신분증과 앱으로 촬영한 본인 확인 셀피 등 고객확인(KYC) 자료가 포함됐다. 계좌 명세서와 IBAN, 출금 기록, 비트코인 거래를 포함한 전체 거래 내역, 이름과 생년월일, 주소, 전화번호, 직업 등도 담겼다고 더레지스터는 전했다.

공격 책임을 자처하는 이들은 여러 텔레그램 채널에 글을 올려 기업 최고경영자와 프로 스포츠 선수, 연예인 등의 것으로 보이는 데이터 일부를 노출했다. 이들은 매일 더 많은 자료를 공개하겠다고 위협하며 몸값으로 비트코인 1만 개, 7억8200만 달러 상당을 요구했다. 레볼루트는 이 몸값 요구에 대해서는 답하지 않았다. 레볼루트의 전 세계 개인 고객은 8000만 명 이상, 기업 고객은 80만 곳 이상이다.