Securitize Japan 해킹으로 소니은행 고객 617명 이름 유출

소니은행, 디지털 증권 거래 중단

미국 토큰화 기업 Securitize의 도쿄 자회사 Securitize Japan이 사이버 공격을 당해 소니은행, NTT Data, 마루이 그룹이 보유하던 고객 정보가 유출됐다. 세 회사 모두 유출 사실을 인정했으며 조사는 진행 중이다. 소니은행이 처음 이상 징후를 알린 곳이다. 같은 은행은 10월 30일 디지털 증권 업무를 맡던 외부 업체의 해킹을 감지했고, 수요일인 11월 4일 그 업체가 Securitize Japan임을 확인해 공식 공지로 밝혔다. 이로써 탐지부터 공개까지 다섯 날의 공백이 닫혔다.

은행 측 유출 규모는 작다. 617명의 이름이 노출됐고, 4명의 고객은 신상 정보 전체가 유출됐다. 소니은행은 이 외에 유의미한 피해는 없으며, 부정 거래는 확인되지 않았고 유출 정보가 공개된 흔적도 없다고 설명했다. 디지털 증권 외부 서비스는 영향을 받지 않았다. 다만 은행은 안전 조치를 갖추기 전까지 디지털 증권 거래 서비스를 중단했고, 피해 고객에게 개별 연락하며 문의 대응 창구를 운영 중이다.

소니은행과 이 업체의 관계는 수년에 걸쳐 있다. 소니은행은 2023년부터 Securitize Japan을 통해 디지털 증권을 발행했고, 2026년에는 음원 저작권 투자를 담보로 한 자금 조달에도 같은 플랫폼을 사용했다. 디지털 증권은 소유권과 권리 기록을 블록체인에 기록하는 금융상품으로, 그 기록의 보관을 은행 자체가 아닌 전문 업체에 맡긴다. 침해가 일어났을 때 은행의 고객 명단이 다른 회사의 네트워크 안에 있었던 것은 바로 이 구조 때문이다.

NTT Data와 마루이 그룹도 유출 공시

Securitize Japan 측 타임라인은 하루 앞선다. 회사는 10월 29일 시스템 내부의 비정상 활동을 감지해 외부 침입으로 추적했고, 소니은행에 통보했다. 이후 접속 기록을 검토한 결과 고객 정보가 시스템에서 빠져나간 것으로 확인됐다.

이번 주에는 다른 기업 고객 두 곳도 유출을 공시했다. NTT Data는 11월 4일 사내채권 매수자의 개인 정보가 Securitize Japan 서비스를 통해 새어 나갔다고 밝혔다. 조사 결과는 플랫폼 인증 체계의 결함을 침해 경로로 지목했다. 공격자는 이 결함을 이용해 관리자 권한을 탈취하고 데이터를 빼냈다. 마루이 그룹의 유출 범위는 더 넓다. 디지털 채권 청약을 위해서만 계좌를 연 최대 9,086명의 이름, 주소, 전화번호, 이메일, 생년월일, 성별, 투자 단위 수가 노출됐고, 약 54명의 청약자는 은행 계좌 정보까지 빼져 갔다.

이 사건은 동아시아 금융권이 연이어 공격받는 시기에 터졌다. 최근 몇 주 동안 일본의 보험사, 금융사, 물류 기업 약 80곳이 중국에서 만든 오픈소스 침투 테스트 도구 ARTEX를 통한 공격을 받았다. 9월 18일부터 10월 18일까지 해외 서버 6곳이 일본 표적에 동원됐다. 한국에서는 같은 도구와 관련된 침해가 신한은행과 KB국민은행을 포함한 금융기관 16곳에 이르렀고, 약 10만 건의 정보가 유출됐다. 한국 경찰은 또한 가상자산 거래소 빗썸, 대신증권, 미래에셋증권의 해킹에 대해 예비 수사에 착수했으며, 이 과정에서 대신증권 고객 38,490명의 정보가 노출된 것으로 알려졌다. 다만 Securitize Japan 사건과 ARTEX 캠페인의 직접적 연결은 확인된 바 없고, NTT Data도 특정 공격자나 도구가 아닌 인증 결함을 원인으로 지목했다.

개별 수치보다 공시에 나타난 구조가 더 중요하다. Securitize Japan은 여러 대형 기관의 디지털 증권 사업의 배후에 동시에 있었고, 인증 체계의 결함 하나가 단일 실패 지점에서 은행과 기술 그룹, 소비자 금융사를 함께 치고 나온 것이다. 각 고객사의 대응도 뚜렷하다. 소니은행은 검증되지 않은 환경에서 거래를 이어가는 대신 서비스를 중단했는데, 기록 보관을 외부 업체에 맡긴 구조에서는 보수적인 선택이 된다. 스마트 계약 공격이 온체인 코드를 겨냥하는 것과 달리, 이번 침해는 관리자 계정과 접속 기록 검토로 막는 관리 계층에서 일어났다. 부정 거래는 아직 확인되지 않아 피해는 금전적이 아닌 정보성에 머문다. 확인되지 않은 것은 공격자의 신원이다. NTT Data와 마루이 그룹 모두 공격자를 특정하지 않았고, ARTEX 캠페인은 별개의 미연결 수사로 남아 있다.