레볼루트, 허위 정부 요청후 고객 데이터 유출 의혹제기

• 레볼루트는 정부 기관의 위조된 데이터 요청에 실제 고객 기록을 제출한 혐의를 받고
  있습니다.
• 유출된 데이터에는 해당 계정과 관련된 신분증 및 비트코인 ​​거래 내역이 포함된 것으로
  알려졌습니다.
• 이 글을 쓰는 시점까지 회사 측은 해당 사건에 대한 자세한 내용을 담은 공식 성명을 발표하지 않았습니다.

레볼루트는 정부 기관을 사칭한 업체로부터 고객 신분증과 비트코인 ​​거래 내역에 대한 정보 제공
요청을 받았음에도 불구하고 이를 무시하고 넘겨준 혐의를 받고 있습니다.
만약 이 사실이 확인된다면, 이는 레볼루트 시스템 해킹이 아니라 정보 제공 전 요청자의 신원을
확인하는 절차상의 결함이라는, 이미 잘 알려진 유형에 해당합니다.

이 실패 유형이 침해와 다른 이유는 무엇일까요?

일반적인 데이터 유출은 공격자가 기술적 방어 체계를 뚫고 코드나 인프라의 취약점을 악용하여
데이터를 빼내는 것을 의미합니다.
하지만 여기서 설명하는 것은 사회공학적 기법을 이용한 실패 사례입니다.
즉, 법 집행 기관이나 규제 기관에서 온 것처럼 위장한 요청이 기업이 기본적으로 합법적인 채널로 간주하는 곳을 통해 전송되는 것입니다.
금융 기관은 법 집행 기관이 때때로 기록을 신속하게 필요로 하기 때문에 정부의 정당한 요청에
대해서는 신속한 처리 절차를 유지하고 있으며, 정교한 위조 요청은 바로 이러한 신속성을
악용하려는 것입니다.
이러한 유형의 실패에 대한 해결책은 소프트웨어 패치와 같은 기술적 조치가 아니라, 응답하기
전에 요청 기관의 신원을 독립적으로 확인하는 절차적 개선입니다.

보도에 따르면 유출된 구체적인 데이터는 단순히 “고객 데이터”라는 막연한 언급 이상의 의미를
지닙니다.
신분증 정보는 계정 탈취 및 신분 도용 사기의 주요 원인이 될 수 있습니다.
특히 실명과 연결된 비트코인 ​​거래 내역은 더욱 이례적이고 민감한 정보 유출 유형입니다.
이러한 정보는 특정 개인이 예상치 못했던 지갑 활동과 연결될 수 있도록 해주며, 일반적인
금융 사기를 넘어선 추가적인 위험을 초래할 수 있습니다.

그 이야기가 사실임을 입증할 수 있는 것은 무엇일까요?

이 글을 쓰는 시점까지 레볼루트는 자사 뉴스룸 이나 계정 사기 방지 가이드라인을 포함한
공식 채널을 통해 이번 사건에 대한 별도의 성명을 발표하지 않았습니다 .
레볼루트처럼 규모가 크고 규제 기관의 영향력이 큰 기업에서 이러한 부재는 주목할 만한
점 입니다.
왜냐하면 이러한 유형의 정보 유출이 확인될 경우, 레볼루트가 사업을 운영하는 관할 지역의
데이터 보호법에 따라 의무적으로 신고해야 하기 때문입니다.
레볼루트 계정 정보가 유출되었을 가능성이 있다고 생각하는 사용자는 레볼루트 자체 사기 및
사이버 범죄 신고 페이지를 통해 직접 신고할 수 있으며 , 해당 페이지에는 각 시장의 관련 국가
기관이 명시되어 있습니다.
레볼루트 또는 해당 국가의 데이터 보호 규제 기관이 공식적인 조사 결과를 발표하기 전까지는
어떤 정보가 유출되었는지, 얼마나 많은 계정이 영향을 받았는지에 대한 구체적인 내용은
확인되지 않은 상태입니다.