Revolut 공격 세력이 주말 동안 고객 여권 사본과 본인확인 셀피를 온라인에 공개하며 몸값을 요구하고 나섰다. 핀테크사가 요구에 응할 때까지, 매일 새로운 자료를 풀겠다고 으름장을 놓은 상태다.
핵심 내용
- 공격자는 레볼루트 고객의 신분증 사본과 셀피를 게시하기 시작했으며, 몸값이 지불될 때까지 매일 추가 유출을 예고했다.
- 유출 자료에는 여권, IBAN, 출금 기록, 전체 거래 내역 등이 포함된 것으로 전해졌다.
- 레볼루트는 시스템과 고객 자금에는 침해가 없었고, 피해 고객 수도 극히 제한적이라고 밝혔다.
레볼루트 데이터, 공개 유출 국면으로
사이버 보안 모니터링 계정 International Cyber Digest는 9월 13일, 해커들이 더 이상 지급을 기다리지 않고 유명 계정 보유자들의 자료를 실제로 풀기 시작했다고 알렸다. 1차 공개분에는 신분증 서류와 본인확인용 셀피가 포함됐다. 같은 계정에 따르면, 해커들은 공개에 나서기 전 레볼루트 측에 구체적인 정보 요구 이메일을 보낸 것으로 전해졌다.
이번에 확인된 문서는 테니스 선수 **알렉산더 셰브첸코(Alexander Shevchenko)**와 암호화폐 온라인 베팅 사이트 Gamdom의 CEO **펠릭스 뢰머(Felix Römer)**의 것이었다. 암호화폐 전문 매체들은 해커들이 요구한 몸값 규모를 Bitcoin (BTC) 1만 개, 월요일 시세 기준 약 7억8,000만 달러 수준으로 추산했으나, 구체적인 금액이 공식 확인되지는 않았다는 보도도 나왔다.
레볼루트는 몸값 요구와 관련된 세부 내용에 대해 코멘트를 거부했다. 대변인은 핵심 인프라, 데이터베이스, 고객 계좌는 침해되지 않았다고 강조했다.
관련 기사: XRP ETF, 가격 약세에도 9주 연속 자금 유입…설정액 17억달러 사상 최대
잭엑스비티, 고액 자산가 겨냥 공격 지목
온체인 조사로 유명한 애널리스트 ZachXBT는 텔레그램을 통해 레볼루트의 고객 안내문을 공유했다. 그는 레볼루트의 공식 이메일에는 언급되지 않은 항목들을 추가로 지적했는데, 여기에는 IBAN, 출금 기록, 직업 정보, 전체 비트코인 거래 내역 등이 포함돼 있었다. 그는 이번 유출이 규모 면에서는 제한적이지만, 대상이 고액 자산가 고객으로 좁혀져 있다는 판단을 내렸다.
레볼루트는 이런 해석에 동조하지 않았으며, 암호화폐 보유자들이 특정 표적이 됐는지에 대해선 입장을 내놓지 않았다. 다만 보안 연구자들은 경고하고 있다. 여권 사진과 전체 거래 내역이 결합되면 실명 기반의 정교한 피싱 공격과 체인 분석이 가능해지기 때문이다. 신분증 사본과 얼굴 인식용 이미지가 유출되면, 해당 인물들을 사칭한 각종 금융사기 위험도 커진다.
레볼루트 유출, 어떻게 시작됐나
이번 사고의 발단은 실제 정부 기관 도메인 내에서 새로 생성한 메일박스를 통해 발송된 단일 이메일이었다. 이 이메일은 합법적인 인증을 갖추고 있었고, 레볼루트의 내부 검증 절차를 통과했다. 은행과 핀테크 업체는 공식 기관의 정식 요청을 원칙적으로 이행해야 하며, 해당 메시지는 형식상 이런 요청 요건을 갖춘 것으로 읽혔다.
고객 대상 공지문 사본은 9월 12일께부터 유통이 시작됐다. 레볼루트는 이 공지에서 사건을 “고도의 외부 기관 사칭(spear impersonation) 공격”으로 규정하고, 관련 사실을 규제당국과 수사기관에 통보했다고 밝혔다.
같은 날, 과거 Mt. Gox CEO였던 **마크 카펠레스(Mark Karpelès)**도 자신의 계정을 통해 별도의 안내문을 게시했다. 레볼루트는 현재까지 정확한 피해 인원 규모를 공개하지 않고 있다. 레볼루트는 30개 국가에서 8,000만 명이 넘는 고객을 보유하고 있으며, 현재 약 1,150억 달러 가치의 구주 매각(세컨더리) 거래를 진행 중인 것으로 알려졌다.
