코인베이스, 해커가 직원 매수해 고객 데이터 탈취 후 2,000만 달러 몸값 요구

 (cnbc.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • Coinbase는 해외 지원 인력이 매수돼 고객 데이터가 빠져나간 사건을 공개했으며, 공격자는 이를 사회공학 공격에 활용하려 했고 수습 비용은 최대 4억 달러로 추정됨
  • 공격자는 5월 11일 일부 고객 계정 정보와 내부 문서를 확보했다고 주장하며, 공개하지 않는 대가로 2,000만 달러를 요구함
  • 유출 데이터에는 이름, 연락처, 마스킹된 은행 계좌 정보, 신분증 이미지, 계정 잔액 등이 포함됐지만 비밀번호·개인키·자금은 노출되지 않았고 Coinbase Prime 계정도 영향받지 않음
  • Coinbase는 몸값 지급을 거부하고 법 집행기관과 협력 중이며, 관련 직원을 해고하고 영향 가능성이 있는 고객에게 경고한 뒤 사기 모니터링 보호를 강화함
  • 회사는 공격 책임자의 체포와 유죄 판결로 이어지는 정보에 2,000만 달러 보상금을 걸었고, 공격자에게 속아 자금을 보낸 고객에게는 환급하겠다고 밝힘

해외 지원 인력 매수로 발생한 데이터 탈취

  • Coinbase에 따르면 사이버 범죄자는 해외 지원 에이전트를 매수해 고객 데이터를 훔쳤고, 이 데이터를 사회공학 공격에 쓰려 했음
  • 이번 사건의 수습 비용은 최대 4억 달러에 이를 수 있음
  • Coinbase 주가는 오전 거래에서 6% 넘게 하락함

2,000만 달러 요구와 Coinbase의 대응

  • Coinbase는 5월 11일 일부 고객 계정 정보와 내부 문서를 확보했다고 주장하는 이메일을 받음
    • 내부 문서에는 고객 서비스와 계정 관리 시스템 관련 자료가 포함됐다고 회사가 SEC 제출 문서에 보고함
  • 공격자는 해당 정보를 공개하지 않는 대가로 2,000만 달러를 요구함
  • Coinbase는 몸값을 지급하지 않고, 법 집행기관과 사건 조사를 진행 중임
  • 회사는 블로그 글에서 요구를 거절하는 대신 범죄자의 체포와 유죄 판결로 이어지는 정보에 대해 2,000만 달러 보상금을 마련한다고 밝힘

노출된 정보와 영향 범위

  • 영향을 받은 데이터에는 민감한 고객 정보가 포함됨
    • 이름, 주소, 전화번호, 이메일
    • 마스킹된 은행 계좌 번호와 식별자
    • Social Security 번호 끝 4자리
    • 정부 신분증 이미지
    • 계정 잔액
  • 비밀번호, 개인키, 자금은 노출되지 않았음
  • Coinbase Prime 계정은 영향을 받지 않음
  • 공격자에게 속아 자금을 보낸 고객은 환급을 받을 예정임

내부 접근 악용과 사전 탐지

  • 공격자는 해외 계약자와 지원 역할 직원을 돈으로 매수해 정보를 얻음
  • 매수된 내부자는 고객 지원 시스템 접근 권한을 악용해 일부 고객 계정 데이터를 훔침
  • Coinbase는 이전 몇 달 동안 침해를 독립적으로 탐지했고, 관련 직원을 즉시 해고함
  • 정보 접근 가능성이 있는 고객에게 경고했으며 사기 모니터링 보호를 강화함

Coinbase의 최근 사업 흐름

  • Coinbase는 미국 최대 암호화폐 거래소를 운영함
  • 최근 일주일 동안 글로벌 확장에 도움이 될 것으로 예상되는 인수를 발표했고, 다음 주부터 적용될 S&P 500 편입도 확정됨
  • 지난주 실적 발표 콘퍼런스콜에서 CEO Brian Armstrong은 향후 5~10년 안에 Coinbase를 세계 1위 금융 서비스 앱으로 만들겠다는 목표를 말함

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • SEC 공시 원문 링크: https://www.sec.gov/ix?doc=/Archives/edgar/data/0001679788/0...

  • 이쪽이나 유출 데이터를 산 누군가에게서 스피어 피싱 전화를 꾸준히 받고 있음
    사기 가능성이 있는 거래를 확인해야 한다는 식의 전형적인 수법이고, 미국식 억양의 완벽한 영어를 쓰며 매우 친근하게 들리고 계정 잔액까지 알고 있음
    다행히 첫 통화에서 바로 사기임을 알아챘고, 나머지는 Google의 통화 선별 기능이 잘 막아줌
    가능하면 Kitboga에게 돌려버리고 싶음: https://www.youtube.com/watch?v=HNziOoXDBeg

    • 이번 유출 이전에 Coinbase에 의미 있는 자산을 둔 적이 있다면, 스피어 피싱은 가장 작은 걱정거리임
      Coinbase는 이름과 주소뿐 아니라 잔액, 거래 내역, 정부 신분증 이미지까지 넘긴 셈이고, 큰 암호화폐 잔액을 가진 사람들은 길거리나 집에서 공격당하거나 가족이 몸값 목적으로 납치되고 있음
      여기서 “큰” 금액은 1만 달러 이하일 수도 있음
      지금까지 최선의 방어는 비밀 유지였고, 실명과 연결될 수 있는 방식으로 암호화폐 이야기를 공개적으로 하지 않는 것이었지만 Coinbase 덕분에 그 방어선이 사라짐
      악당들은 누가 Coinbase에서 의미 있는 잔액을 가진 적이 있는지, 그 잔액을 현금화했는지와 얼마였는지, 거래소 밖 자기 지갑으로 토큰을 옮긴 적이 있는지까지 알 수 있음
      이제 누가 납치할 만한 가치가 있는지와 어디 사는지 알게 됐고, 이름과 집 주소를 Google에 검색하면 협박이나 납치 대상이 될 가족 이름도 대부분 나옴
      Coinbase는 실제 피해 비용을 모두 배상하도록 강제되지 않을 텐데, 그 비용은 회사를 파산시킬 수준일 것임
    • Pixel에서 iPhone으로 바꿨는데 스팸 전화가 너무 많아서 충격임
      iPhone 사용자들은 이걸 어떻게 처리하는지 궁금함
    • 내가 시도한 적도 없는데 Coinbase 로그인 확인 코드 문자 메시지를 정기적으로 받기 시작함
      Microsoft 계정도 마찬가지임
      보통은 그냥 무시하지만, 누군가 내 이메일로 로그인 가능한지 시험하는 것 같음
    • 이런 스피어 피싱 전화가 늘어난 지 얼마나 됐는지가 궁금함
      Coinbase가 “사이버 범죄자”에게 연락받기 전까지는 이걸 시스템적 문제로 보지 못했다는 설명은 믿기 어려움
    • AI 이후로 사기가 더 정교해졌고, 흔한 철자 오류가 대부분 사라짐
      얼마 전 호기심에 피싱 메일을 보다가 이상한 유니코드 문자가 잘못 번역된 걸 발견했고, 바로 형편없는 번역의 흔적이라고 알아챘음
      완벽하진 않지만 꽤 잘 만들어짐

  • 문제는 유출된 데이터가 계정 복구에 쓰이는 데이터처럼 보인다는 것임
    즉 본인 실수든 Coinbase 실수든 계정 접근 권한을 잃으면 복구 절차가 더 이상 단순하지 않을 수 있고, 해커들이 이 유출 정보를 이용해 계정 “복구”를 시도할 수도 있음
    Coinbase에는 오프라인 지점이 필요함. 계정 복구 같은 일을 직접 처리하고, 돈을 훔치려는 사람을 잡아 기소할 수 있는 장소가 있어야 하며, 보통 해외에서 움직이는 도둑들에게도 큰 장벽이 됨
    여기서 유일한 해법은 YubiKey 같은 하드웨어 2단계 인증임

    • 암호화폐 업계는 전 세계 금융 시스템이 왜 존재하는지를 계속 빠르게 재발견하고 있음
      방금 설명한 건 많은 암호화폐 지지자들이 은행이라고 부르는 것과 같음
    • 그건 그냥 은행임
    • YubiKey 같은 하드웨어 2단계 인증을 잃어버리면 뭘 해야 하나? 결국 다시 계정 복구 단계로 돌아가는 것 아닌가?
    • 본인이 제어하는 지갑으로 돈을 보낸 적이 있다면, 그 키로 메시지에 서명하게 하고 Coinbase가 기록된 주소로 검증하는 방식이 신뢰할 만한 복구 요소가 될 수 있음
      어차피 암호화폐는 또 하나의 공개키 기반 구조임
    • 계정 복구에 쓰일 데이터의 99%는 공개 기록이거나 이미 수십 건의 대형 데이터 유출에 포함된 정보임

  • Coinbase 고객지원에 연락해서 내가 영향을 받았는지 확인하려 했음
    AI 봇에 시간을 낭비한 뒤 사람에게 연결됐는데, 그 직원은 유출 사실을 모르고 있었고 내가 처음 알려준 사람이었음

    • 영향받은 계정에는 이메일을 보냈음
      출처: 내가 영향받았음
    • “와, 저희는 몰랐고 고객님이 처음 알려주셨어요”라는 스크립트를 들은 것임

  • Coinbase가 신원 확인과 인증에 필요한 것보다 훨씬 많은 민감 정보를 보관해야 했던 이유는 고객확인제도 때문임
    여권 사진이 도난당하고, 범죄자나 악의적인 Coinbase 직원이 그 정보로 뭘 하든 그 책임의 일부는 정부에 감사해야 함

    • 고객확인제도에는 충분히 좋은 이유가 있음
      여기서 문제는 정부 규제가 아니라, 사기업이 고객 데이터를 허술하게 다루는 것임
      허술하게 하는 게 싸고, 위험에 걸린 정보는 회사 것이 아니라 고객 것이기 때문에 법으로 강제하지 않는 한 제대로 보호할 동기가 작음
    • 이건 너무 쉬운 책임 회피임
      왜 모든 상담원이 신원 확인용 문서에 영구적으로 접근할 수 있어야 하는지 솔직히 설명해야 함
      그 문서는 고객확인제도에만 필요한 것임

  • Coinbase는 이른바 “해외의 악성 지원 담당자”와 자신들을 분리해 보이려고 꽤 애쓰는 듯함
    그들이 Coinbase 직원이나 계약자였다면, 회사가 사실상 자기 데이터를 해커에게 팔았고 해커가 다시 몸값을 요구한 셈임
    속아서 송금한 고객에게 배상하는 건 타당함. Coinbase의 행동이 손실로 이어졌다는 소송 논리가 꽤 명확해 보이기 때문임
    더 궁금한 건 이사, 은행 변경, 이메일 변경, 경호 인력 고용 등이 필요하다고 느낀 사람이 그 비용 일부나 전부를 회사에 청구하는 소송에서 이길 수 있느냐임

    • 그런 해석은 이상함
      회사 직원이 정책을 어기고, 아마도 불법적으로 회사 내부 데이터를 빼내 돈을 받고 해커에게 넘겼다면 “우리 회사가 데이터를 팔았다”고 말하기는 어려움

  • Coinbase 블로그 글: https://www.coinbase.com/blog/protecting-our-customers-stand...
    사회공학 공격으로 공격자에게 자금을 보내도록 속은 고객에게 배상하겠다고 했고, 데이터가 접근된 고객에게는 no-reply@info.coinbase.com에서 이미 이메일을 보냈다고 함
    영향받은 고객에게 보낸 모든 알림은 5/15 동부시간 오전 7:20에 발송됐다고 함

    • no-reply를 쓴 건 흥미로운 결정임
      Coinbase 같은 회사를 운영하기 어렵다는 건 이해하지만, 중앙화와 고객지원이라는 가장 큰 강점이 바로 이런 사회공학을 가능하게 하는 요소이기도 해서 묘한 선택처럼 느껴짐
    • “비밀번호, 개인키, 자금은 노출되지 않았고 Coinbase Prime 계정은 영향을 받지 않았다”고 했는데, 왜 Coinbase Prime 계정은 유출에 포함되지 않았는지 궁금함
      Coinbase Prime 유료 장벽 뒤에 추가 데이터 보호 계층이 있는 건지, 아니면 더 숙련된 사용자일 가능성이 높아 의도적으로 피한 건지 모르겠음

  • 유출 설명에 따르면, 공격자는 미국 밖 지원 업무를 하는 여러 계약자나 직원에게 돈을 주고, 업무상 접근 권한이 있던 Coinbase 내부 시스템에서 정보를 수집하게 한 것으로 보임
    유출된 정보로 보면 출처는 필리핀 고객지원일 가능성이 큼
    월급이 보통 1,000달러 미만이고 초급은 500달러도 안 될 수 있어서, 5,000달러 뇌물은 세금 없이 1년치 이상 돈이 될 수 있음
    이 데이터셋으로 벌 수 있는 돈을 생각하면 작은 투자임
    유출 항목은 이름, 주소, 전화번호, 이메일, 마스킹된 사회보장번호 마지막 4자리, 마스킹된 은행 계좌번호와 일부 은행 식별자, 운전면허증·여권 같은 정부 신분증 이미지, 잔액 스냅샷과 거래 내역, 지원 담당자가 볼 수 있는 일부 회사 문서·교육 자료·커뮤니케이션임
    이건 모든 공격자가 꿈꾸는 데이터이고, 이메일 주소와 계정 잔액만 있어도 악몽임
    회사 협박 대신 각 사용자를 직접 협박할 수 있음. “BTC의 50%를 보내면 네 모든 정보를 인터넷에 공개하지 않겠다”는 식임
    Vastaamo 데이터 유출과 비슷한 상황이 될 것 같음: https://en.wikipedia.org/wiki/Vastaamo_data_breach

    • 개별 사용자 협박은 걱정거리 중 가장 작은 축일 수 있음
      프랑스에서는 올해 초부터 암호화폐 투자자와 관련된 납치 및 납치 미수가 최소 5건 있었음
    • 더 심각함
      미국 기업들은 필리핀에 고객지원을 외주 주면서 시간당 3~6달러를 지불함
      서비스를 제공하는 업체들은 이직률이 매우 높고, 어떤 회사는 직원 평균 근속이 약 6개월임
      충성할 이유가 전혀 없음
    • AI에 대한 정부 규제도 거의 없고, 데이터 유출에 대한 처벌도 없으며, 대규모 남용으로부터 사람을 보호하는 장치도 없음
      오히려 반대 방향으로 가고 있음
      이런 충격으로 미국이 머지않아 혼란에 빠질 것 같음
    • 핵심은 필리핀의 낮은 임금만이 아니라 누구에게나 가격이 있다는 것임
      미국이었다면 가격은 훨씬 높았겠지만, 공격으로 얻는 이익도 더 큰 쪽에 맞춰졌을 가능성이 큼

  • Coinbase를 어떻게 보든, 이번 대응은 꽤 괜찮아 보임
    2,000만 달러 몸값을 내지 않고, 대신 책임자 체포와 유죄 판결로 이어지는 정보에 2,000만 달러 보상금을 걸겠다는 방식임

    • 전혀 괜찮지 않음
      제목이 “Protecting Our Customers - Standing Up to Extortionists”인데, 개인 정보를 유출해서 죄송하다고 해야 할 상황을 사람들이 칭찬하게 만드는 식으로 발표문을 쓴 게 문제임
      이 점 때문에 정말 화가 남
      게다가 내가 받은 이메일 제목은 “important notice”였고, 개인 계정이 영향을 받았다는 사실은 장황한 문단의 세 번째 문장에 있었음
      어느 것도 괜찮지 않고, 이 회사가 사안을 진지하게 다루는 모습이 아님
    • 1996년 영화 Ransom에서 나온 것과 같은 수법임: https://youtu.be/haThIxPnYro?si=Jxu0elA-ylB5Z15q
    • 마음에 듦
      이런 순간에는 회사식 문구를 잠깐 벗어나 “꺼져라 해커 놈들아!” 같은 말을 하기에도 좋은 기회였음
      Bible Belt에 사는 사람들도 때맞춘 욕 한마디는 인정함
    • 고객 입장에서는 몸값을 내고 개인식별정보를 되찾는 편이 더 나을 수 있음
      보상금 제도까지 마련한다면 좋지만, 내 데이터라면 Coinbase가 보복성 현상금 놀이를 하는 것보다 유출 범위를 줄이는 데 더 관심이 있음

  • Coinbase가 애초에 이런 정보를 갖고 있어야 했던 건 고객확인제도 규제 때문이라 정말 불행함
    정당한 이유 없이 개인식별정보를 공유하지 않는 강한 사회적 규범을 세워야 함
    이건 개인 절도 위험만이 아니라 국가 안보 위험이기도 함
    Coinbase가 내 Social Security 계좌에 납입하지 않으니 내 Social Security 번호를 가져선 안 되고, 내 집에 방문하지 않으니 주소를 가져선 안 됨
    역사적으로 고객확인제도 규제는 공산권 국가에는 널리 있었지만, 대부분의 민주국가에서는 9/11 전까지 상상하기 어려웠음
    9/11은 정보기관이 원하던 목록을 법으로 밀어 넣을 절호의 기회를 줬고, 안타깝게도 이는 국내 정보기관만큼이나, 어쩌면 그보다 더 외국 정보기관에도 도움이 됨
    여러 나라에서 언제 도입됐는지는 여기서 볼 수 있음: https://en.wikipedia.org/wiki/Know_your_customer#Laws_by_cou...

    • Coinbase 계정이 털리고 구제책을 찾게 된 뒤에도 그 입장을 반복할 수 있는지 들어보고 싶음
답변달기