**트레저(Trezor)**가 배송 대행사 보안사고로 미국 고객 6만7,000여 명의 추가 정보가 유출됐다고 밝히면서, 확인된 전체 피해 규모가 8만 명을 넘어섰다.
핵심 포인트
- 미국 고객 6만7,000명 이상 주문 정보가 추가로 노출되며, 확인된 피해 고객이 8만 명을 상회.
- 새로 드러난 기록은 2019년 11월부터 2021년 8월 사이 주문 건.
- 트레저는 자사 시스템·디바이스·프라이빗 키·지갑 백업 등은 침해되지 않았다고 재차 강조.
트레저 유출 사고, 과거 기록까지 뒤늦게 드러나
트레저는 9월 4일 업데이트 공지를 통해, 공식 입장에서 미국 거주 고객 6만7,000여 명의 추가 피해가 확인됐다고 밝혔다. 해당 기록은 2019년 11월부터 2021년 8월 사이에 이뤄진 주문과 연관된 데이터다.
이번에 노출된 정보에는 이름, 이메일 주소, 전화번호, 배송지 주소, 주문번호 등이 포함됐다. 새로 파악된 모든 피해 고객에게는 이메일로 개별 통지가 이뤄졌다고 회사 측은 설명했다.
물류 파트너사인 **쉽몽크(ShipMonk)**가 이 같은 주문 데이터를 보관해왔던 것이 문제의 핵심이다. 트레저에 따르면, 회사는 여러 차례 데이터 삭제를 요구했고, 쉽몽크로부터 계약과 데이터 정책에 따라 기록을 삭제했다는 서면 확인까지 받았지만 실제로는 삭제가 이뤄지지 않았다.
트레저는 “삭제 확인을 받은 이후에도 데이터가 그들의 시스템에 남아 있었던 점에 대해 매우 유감스럽게 생각한다”고 지적했다.
이번 추가 확인으로 유출 규모는 8만 명을 넘어섰다. 트레저는 지난 8월 최초 공지 당시, 고객 1만1,742명의 이름·이메일·전화번호·배송지 주소가 노출됐고, 1,947명은 보다 제한적인 정보만 유출됐다고 밝힌 바 있다.
참고 기사: 비트코인, 2024년 이후 최고 월간 수익… 피델리티는 아직 ‘바닥’ 선언 안 해
암호화폐 보안 리스크, 지갑 밖에서 터지다
트레저는 이번 사고가 자사 인프라 침해가 아니라 물류업체 보안 문제에서 비롯된 것이라고 재차 강조했다. 프라이빗 키, 지갑 백업 데이터, 디바이스 내 비밀정보 등은 노출되지 않았으며, 하드웨어 지갑 자체의 보안성에는 이상이 없다는 입장이다.
문제는 유출된 고객 정보다. 해당 정보는 하드웨어 지갑 보유자를 특정하고, 실제 주문·배송 정보에 기반한 정교한 피싱·사기 공격을 설계하는 데 활용될 수 있다.
트레저는 피해 고객들에게 향후 피싱 이메일, 보이스피싱·스미싱, 우편물 등을 통한 사기 시도를 각별히 경계할 것을 당부했다. 특히 집 주소 등 물리적 위치 정보가 함께 노출된 만큼, 단순 계정 보안을 넘어 물리적 보안 위협으로 이어질 가능성을 경고했다.
보안업체 TRM Labs는 그간 “셀프 커스터디(자가 보관)가 리스크를 없애는 것이 아니라, 보안 체인의 다른 지점으로 위험을 전가할 뿐”이라고 지적해왔다. 이번 사례에서도 지갑 자체는 안전하지만, 배송 기록을 통해 소유자의 신원·연락처·거주지가 노출되는 구조적 취약성이 드러난 셈이다.
이번 사건은 8월 13일 처음 공개됐다. 당시 트레저는 쉽몽크 시스템 침해로 약 1만3,689명의 고객 정보가 영향을 받았으며, 주로 90일 데이터 보존 정책 내 ‘최근 주문’에 국한된 것으로 파악된다고 설명했다.
그러나 이후 조사에서 2019년까지 거슬러 올라가는 과거 주문 기록이 쉽몽크 시스템에 남아 있었던 사실이 드러나면서, 트레저가 요구한 데이터 삭제 의무가 실제로 지켜지지 않았음이 확인됐다.
다음 읽기: iPhone Ultra May Land At $2,550 Average, Helping Apple Redraw Foldable Market
