하드웨어 암호화폐 지갑 제조사 트레저(Trezor)가 최근 이메일 마케팅 협력사인 브레보(Brevo)의 데이터 유출로 인해 약 34만 7천 명의 고객에게 피싱 이메일이 발송되었다고 밝혔습니다. 해커들은 브레보 시스템의 취약점을 악용하여 트레저 고객을 대상으로 악성 링크가 포함된 피싱 이메일을 대량으로 보냈으며, 이는 지갑 백업 비밀번호 탈취를 목적으로 합니다. 이 사고는 몇 달 만에 발생한 두 번째 협력사 데이터 유출로, 트레저는 자사 제품이나 계정 시스템은 직접적인 영향을 받지 않았다고 강조했습니다.
이번 공격은 'STM32 엔트로피 취약점'을 언급하며 보안 경고를 위장한 이메일 제목을 사용했습니다. 고객이 악성 링크를 클릭하면 지갑 백업 비밀번호를 요구하는 앱이 다운로드되어, 비밀번호가 유출될 경우 암호화폐 자산을 영구적으로 도난당할 수 있습니다. 브레보 측은 해커들이 138개 계정에 접근하여 대량의 피싱 메시지를 보냈으며, 접근 권한이 부적절하게 부여된 취약점이 악용되었다고 설명했습니다. 앞서 8월에는 트레저의 배송 파트너인 쉽몽크(ShipMonk)가 해킹되어 8만 1천 명 이상의 고객 이름, 전화번호, 이메일, 주소 등이 유출된 바 있습니다. 이 정보는 '렌치 공격(wrench attack)'과 같은 물리적 위협에 악용될 수 있어 더욱 심각한 우려를 낳고 있습니다.
이러한 연이은 데이터 유출 사고는 암호화폐 자산을 보유한 개인들이 제3자 서비스의 보안 취약점으로 인해 얼마나 큰 위험에 노출될 수 있는지를 명확히 보여줍니다. 특히, 민감한 개인 정보와 자산이 연동된 서비스의 경우, 협력사의 보안 관리 소홀이 고객에게 치명적인 결과를 초래할 수 있습니다. 트레저는 현재 협력사 관계를 재평가하고 있으며, 고객들에게 향후 추가적인 피싱 공격에 대비하여 이메일 주소 사용에 각별히 주의할 것을 당부했습니다. 이는 기업들이 공급망 전반의 보안을 강화하고, 사용자들은 항상 의심스러운 링크나 앱 다운로드 요청에 신중해야 함을 시사합니다.