Chainalysis, 10월 30일 고객 이름·이메일 유출 사고 공개

저민감도 고객 기록 유출

블록체인 분석 기업 Chainalysis가 10월 30일 외부 공격자가 자사 시스템과 내부 도구에 무단으로 접근해 일부 저민감도 고객 기록을 열람했다고 공개했다. 회사의 공식 사고 공지에 따르면 노출된 항목은 고객 사용자 ID, 이름, 이메일 주소, 그리고 각 사용자가 소속 조직에서 맡은 역할을 설명하는 정보다. Chainalysis는 컴플라이언스 팀과 수사기관이 공개 블록체인 전반의 불법 자금 흐름을 추적할 때 쓰는 조사 소프트웨어를 공급하며, 크로스체인 브리지를 통해 이동한 자금까지 추적 범위에 넣는다. 그만큼 고객 정보의 기밀성은 일반 소프트웨어 업체보다 훨씬 무거운 문제다.

회사 측은 10월 중 침입을 탐지했으며, 공격 수법을 공격적 에이전트 기법으로 규정했다. 이는 AI 에이전트가 이전에는 사람이 수작업으로 수행하던 단계를 스스로 계획하고 실행하는 공격 방식을 뜻한다. 제3자 사이버보안 전문가의 지원을 받아 조사를 진행하는 동시에 악용된 취약점의 보수 작업도 병행하고 있다. Chainalysis는 방어 측에도 대규모 언어 모델을 투입하고 있으며, 이번 사고를 AI를 활용한 사이버공격이 업계 전반에서 늘고 있는 흐름 속에서 이해해야 한다고 설명했다. 또한 이번 사고는 최근 Binance에서 발생한 암호화폐 도난 사건과는 무관하다고 못박았다. 두 건 모두 10월의 고발주 사안이라 독자가 자연스럽게 연결 지을 수 있는 부분이다. 자금은 인출되지 않았고 공격자 신원도 밝혀지지 않았다. 피해 계정 수는 아직 공표되지 않았으며, 이번 사건은 자산 도난이 아니라 데이터 접근 사고로 분류된다.

10월의 기업 유출 연쇄

공개 시점 역시 시끄러운 한 달과 겹친다. 10월에는 일본 주요 기업에서 개인정보 유출 사고가 잇따랐다. 사가와 익스프레스가 최대 약 5,323만 건, 무인양품 운영사 료힌케이카쿠가 최대 약 2,726만 건, 소스넥스트가 약 2,252만 건, 캡콤이 약 1,177만 건, 버거킨재팬이 약 1,118만 건의 기록 영향을 각각 보고했다. 미국에서도 같은 흐름이 이어졌다. 교육평가기관 ETS는 캘리포니아 공립학교 학생 데이터를 포함해 약 700만 명 규모의 유출을 보고했고, Cerner 전자의무기록 사업을 운영하는 Oracle Health는 약 2,000만 건, 심박 모니터링 기기 업체 iRhythm은 약 818만 건의 영향을 밝혔다. 리테일 업체 Revolve는 집계가 아직 확정되지 않았으며 텍사스주만 해도 약 12만 7,000명에 이른다. 검사 전문기업 Quest Diagnostics도 침해된 환자 정보의 규모를 파악 중이다.

헤드라인 항목보다 유출의 내용이 사고 자체만큼 중요하다. 회사의 사후 분석에 따르면 지금까지 확인된 증거상 수사 그래프, 메모, 케이스 파일에는 접근이 없었고, 거래 및 조회 결과, 평문 비밀번호, 다중인증 비밀 정보, 로그인 상태를 유지하는 세션 토큰도 무단 열람되지 않은 것으로 나타났다. 이 구분이 결정적이다. 훼손되지 않은 항목들은 공격자가 진행 중인 수사 내용을 읽거나 고객 계정에 곧바로 침입하는 데 쓰이는 자산이기 때문이다. Chainalysis는 전체 고객에게 통지를 마쳤으며, 열람된 기록에 대한 검토가 끝나는 대로 피해 사용자에게 직접 연락할 계획이다. 사용자에게는 예상치 못한 비밀번호 재설정 요청이나 인증 요구를 의심하고 이중 인증을 켜두라는 안내가 전해졌다.

사고의 형태는 분석 업체가 공격 표적이 되는 이유를 설명한다. 이들의 플랫폼은 누가 누구를 수사하는지에 대한 지도를 품고 있고, 케이스 파일까지 침입이 닿으면 수사 우선순위가 고스란히 노출된다. 사후 분석은 그 선이 넘어가지 않았음을 시사한다. 실제로 새어 나간 것은 이름과 이메일이며, 이는 직접적인 계정 탈취보다 표적형 피싱의 재료가 된다. 계정 탈취에는 평문 비밀번호나 다중인증 정보, 세션 토큰이 필요한데, 검토 결과 모두 훼손되지 않았다. 이런 데이터가 빠졌다면 공격자는 리플레이 공격보다 더 직접적으로 살아 있는 세션을 사칭할 수 있었을 것이다. 외부 블록체인 분석 업체에 의존하는 Coinbase Global 같은 거래소 고객들 역시 유출된 연락처 데이터가 가져오는 현실적 후폭풍과 마주하게 됐다. AI라는 틀은 양날의 검이다. 침입을 실행한 에이전트 기반 자동화가 지금은 회사 방어 쪽에 동원되고 있다.