Revolut, 가짜 정부 요청 후 비트코인 활동과 여권 노출

디지털 은행은 사기성 정부 요청을 합법적인 것으로 취급한 후 여권, 셀카, 집 주소 및 비트코인 거래 세부 정보를 포함한 민감한 고객 데이터를 넘겼지만 자금은 도난당하지 않았습니다.

런던에 본사를 둔 디지털 은행 Revolut은 전 세계적으로 4천만 명 이상의 사용자를 보유하고 있으며, 정교한 소셜 엔지니어링 공격의 희생자가 된 후 중대한 데이터 유출을 확인했습니다. 회사는 합법적인 정부 데이터 요청으로 보이는 것을 잘못 처리하여 법 집행 공무원으로 위장한 사기꾼에게 매우 민감한 고객 정보를 넘겼습니다.

노출된 데이터에는 여권 사본, 셀카 인증 사진, 집 주소, 그리고 암호화폐 사용자에게 중요하게는 플랫폼에서의 비트코인 활동에 대한 상세한 기록이 포함됩니다. 유출은 공개되지 않은 수의 고객에게 영향을 미쳤지만, Revolut은 사건 중에 고객 자금이 손상되거나 도난당하지 않았다고 강조했습니다. 회사는 데이터가 이미 전송된 후 사기 요청을 발견했습니다.

이 유출은 암호화폐 및 핀테크 생태계에서 증가하는 취약성을 강조합니다: 합법적인 데이터 요청 프로세스의 악용. 금융 기관은 법적으로 정부 및 법 집행 요청에 응답할 의무가 있어, 범죄자가 당국으로 성공적으로 위장할 때 잠재적인 공격 벡터를 만듭니다. 비트코인 거래 데이터의 포함은 특히 우려스러운데, 암호화폐를 보유한 것으로 알려진 고객에 대한 표적 피싱 캠페인이나 물리적 보안 위협을 가능하게 할 수 있기 때문입니다.

Revolut은 공격자가 가짜 요청을 인증하는 데 사용한 특정 메커니즘이나 그들이 대표한다고 주장한 관할권을 공개하지 않았습니다. 업계 전문가들은 공격자가 공식 레터헤드를 위조했거나, 손상된 정부 이메일 주소를 사용했거나, 은행이 법 집행 요청을 인증하는 데 사용하는 검증 절차의 격차를 악용했을 가능성이 있다고 제안합니다. 필요한 정교함은 기회주의적 해커가 아닌 조직적인 범죄 활동을 시사합니다.

영향을 받은 고객의 경우, 암호화폐 활동과 결합된 여권 데이터의 노출은 여러 위험을 만듭니다. 확인된 신분 증명서로 신원 도용이 더 쉬워지며, 비트코인 보유에 대한 지식은 개인을 SIM 스왑 공격, 피싱 시도 또는 물리적 위협의 표적으로 만듭니다. 보안 연구원들은 영향을 받은 사용자에게 추가 인증 계층을 활성화하고, 신용 보고서를 모니터링하고, 고가치 암호화폐 보유와 관련된 주소 변경을 고려할 것을 권장합니다.

이 사건은 여러 관할권에서 은행 라이선스를 추구하고 있으며 빠른 성장과 규정 준수 관행에 대한 규제 심사가 증가하고 있는 Revolut에게 민감한 시기에 발생했습니다. 회사는 연간 수십억 건의 암호화폐 거래를 처리하며 전통적인 은행 업무와 디지털 자산 사이의 다리로 자신을 포지셔닝하고 있습니다. 이 유출은 규제 당국이 핀테크 회사가 정부 데이터 요청을 어떻게 확인하고 응답하는지 조사하도록 촉구할 수 있습니다.

Revolut은 관련 데이터 보호 당국 및 법 집행 기관에 사건을 보고했으며 향후 정부 요청에 대한 추가 검증 단계를 구현하고 있다고 밝혔습니다. 회사는 영향을 받은 고객에게 직접 통지하고 신용 모니터링 서비스를 제공하고 있습니다. 업계 관찰자들은 데이터 요청 프로세스를 표적으로 삼는 유사한 소셜 엔지니어링 공격이 다른 금융 기관에 영향을 미쳤으며, 이것이 한 회사의 고립된 사건이 아니라 전체 부문에 걸쳐 나타나는 위협 벡터를 나타낼 수 있다고 지적합니다.