비트코인 하드웨어 지갑 제조업체 파운데이션(Foundation)이 고객 정보 유출 사고의 경위를 공개했다.

공격자들은 회사가 자체 운영하던 시스템에 침입해 인증 정보를 탈취한 뒤 고객 데이터와 이메일 시스템 등에 접근했으며, 확보한 정보를 이용해 지갑 복구 문구를 요구하는 피싱 공격을 벌였다.

파운데이션의 사고 보고 내용에 따르면, 공격은 지난달 21일 시작됐다. 해커들은 자체 서버에서 운영되던 일정 예약 도구 Cal.com과 인증 정보 관리에 사용되는 Bank-Vaults의 취약점을 악용해 접근 범위를 넓혔다.

이후 공격자들은 지난달 25일 파운데이션의 공식 이메일 주소를 통해 2만3000건 이상의 피싱 메일 발송을 시도했다.

공격 대상이 된 이메일 주소는 2만1463개다. 발송 시도 건수와 대상 주소 수는 서로 다른 지표로, 이를 모두 실제 수신자 수나 개인정보 유출 피해자 수로 해석해서는 안 된다.

유출 정보에는 고객 이름과 배송 주소, 전화번호, 주문 내역, 결제카드 정보 일부 등이 포함됐다. 다만 제시된 내용만으로는 고객별 유출 항목이나 카드 정보의 구체적인 범위를 확인하기 어렵다. 전체 카드번호나 카드 보안코드까지 유출됐다고 단정할 근거도 제시되지 않았다.

이번 사고에서 주목되는 부분은 공격자들이 회사의 공식 이메일 발송 경로를 이용했다는 점이다. 발신 주소뿐 아니라 실제 고객의 이름과 주문 관련 정보까지 담긴 메시지는 정상적인 고객 안내로 오인될 가능성이 크다.

단순한 광고성 스팸과 달리, 제조사와 고객 사이의 신뢰를 이용해 이용자의 행동을 유도하는 방식이다.

공격은 이메일에 그치지 않았다. 해커들은 탈취한 고객 정보를 활용해 전화로 비트코인 시드 복구 문구를 요구하는 사기도 벌인 것으로 전해졌다.

파운데이션은 현재 공식 홈페이지에서도 패스포트 리콜이나 기기 침해를 주장하는 전화·이메일은 사기라고 경고하며 회사가 전화나 이메일로 복구 문구를 요구하는 일은 없다고 안내하고 있다.

시드 복구 문구는 지갑의 접근 권한을 복원하는 핵심 정보다. 따라서 하드웨어 지갑 자체가 해킹되지 않았더라도 이용자가 사기범에게 복구 문구를 넘기면 자산 탈취 위험에 노출될 수 있다. 이번 사고 역시 제조사의 고객 정보 유출과 지갑 내부 개인키 침해를 구분해 볼 필요가 있다.

파운데이션은 직원 계정이나 직원 기기는 침해되지 않았으며 패스포트 하드웨어 지갑에 보관된 자산은 안전하다고 밝혔다.

회사가 앞서 공개한 조사 안내에서도 패스포트 기기나 기기에 저장된 개인키가 침해됐다는 증거는 발견되지 않았다고 설명했다.

이는 회사의 조사 결과에 따른 입장으로, 개인정보 유출에 따른 후속 피싱 위험까지 사라졌다는 의미는 아니다.

고객 정보 보관 방식도 이번 사고의 쟁점으로 떠올랐다. 파운데이션은 앞선 조사 과정에서 과거 온라인 상점의 데이터베이스를 이전할 때 남아 있던 주문 정보 사본 등을 확인했다고 밝혔다.

관리자 화면에서는 개인정보가 삭제 처리된 것으로 보였지만, 일부 오래된 데이터베이스 테이블에는 정보가 남아 있었다는 설명이다.

회사는 개인정보 보호 책임이 자사에 있다고 인정하고 관련 보관·삭제 절차를 점검하겠다고 밝혔다.

파운데이션은 재발 방지를 위해 자체 서버 운영을 줄이고 외부 관리형 서비스로 전환할 방침이다. 자체 운영 시스템의 취약점 관리와 인증 정보 보호, 고객 데이터 보관 범위를 함께 재검토하겠다는 취지다.

이번 사건은 하드웨어 지갑의 보안과 제조사의 고객 정보 보호가 별개의 위험 요소임을 보여준다. 기기가 개인키를 안전하게 보관하더라도 구매·상담 과정에서 남긴 개인정보가 유출되면 이용자를 겨냥한 정교한 사기에 악용될 수 있다.

특히 실제 이름이나 배송 주소를 알고 있는 상대라도 신뢰의 근거로 삼아서는 안 되며 복구 문구를 요구하는 연락에는 응하지 않아야 한다.