렛저 고객정보 유출 사건, 쇼피파이 직원 내부 유출로 29만 명 정보 공개와 피싱 피해

렛저는 2020년 6월 25일 무단 제3자가 API 키를 통해 자사 전자상거래·마케팅 데이터베이스 일부에 접근했다고 훗날 밝혔다. 이 데이터베이스에는 하드웨어 지갑 구매 고객의 이메일, 이름, 주소, 전화번호, 주문 내용이 담겨 있었다. 렛저는 결제 정보와 비밀번호 같은 자격증명은 해당되지 않았다고 설명했다. 한편 이후 조사에서는 쇼피파이 지원팀의 일부 내부자가 4월~6월 사이 API 접근 권한으로 거래 기록을 빼낸 것으로 확인됐다. 가상자산 보안 업체의 고객 데이터라는 점에서 파장이 컸다.

2020년 7월 14일 렛저의 버그바운티 프로그램에 참여한 한 보안 연구자가 유출 가능성을 제보했다. 렛저는 사실 확인을 거쳐 7월 17일 프랑스 개인정보 감독기관 CNIL에 사고를 신고했다. 7월 21일에는 오렌지 사이버디펜스와 협력해 피해 범위를 평가한다고 발표했다. 이 시기 렛저는 API 키를 즉시 비활성화하고 내부 침투 테스트를 진행했다. 렛저는 ISO 27001 인증도 추진하겠다고 밝혔다.

렛저는 2020년 7월 29일 경영진 메시지를 통해 데이터 유출을 공식 공개했다. 노출된 이메일 주소는 약 100만 개였고 이 중 9,500명의 고객은 이름, 주소, 전화번호, 주문 내역까지 노출됐다고 설명했다. 렛저는 사용자에게 피싱을 경계하라고 당부하며 '렛저는 절대 24개 단어 복구 구문을 묻지 않는다'고 강조했다. 이때 알려진 규모는 이후 훨씬 큰 것으로 드러났다. 하드웨어 지갑 이용자 대부분이 가상자산 보유자라는 점에서 공격 표적이 될 위험이 컸다.

2020년 12월 렛저 고객 25만 명 이상의 개인정보가 담긴 데이터베이스가 온라인에 게시됐다. 렛저는 이어 유출 규모가 처음 알려진 것보다 훨씬 크며 약 27만 2천 명의 이름, 주소, 전화번호 등이 노출됐다고 파악했다. 이는 7월에 공개한 9,500명의 수십 배에 해당한다. 공개된 정보는 피싱과 협박에 악용될 수 있어 이용자 불안이 커졌다. 렛저는 사용자에게 의심스러운 메일과 문자, 가짜 기기를 조심하라고 안내했다.

렛저는 2021년 1월 13일 블로그를 통해 데이터베이스 접근이 쇼피파이 해킹과 관련됐음을 확인했다. 쇼피파이의 일부 지원팀 구성원이 2020년 4월~6월 사이 API 접근 권한으로 고객 거래 기록을 열람·반출한 것으로 알려졌다. 이후 쇼피파이가 추가 기록 약 2만 건이 포함됐다고 알려 영향을 받은 고객은 총 약 29만 2천 명이 됐다. 렛저는 이 사실을 확인하며 데이터 보호 체계 개선을 약속했다. 사건은 공급망 파트너 의존의 위험을 보여줬다.

유출 후 일부 이용자는 가짜 렛저 기기와 사칭 메일, 문자를 통한 피싱 사기를 당했고 소수는 신체적 폭력이나 협박 위협까지 받으며 가상자산 이전을 요구받은 것으로 알려졌다. 렛저는 '깊이 사과한다'고 밝히고 고객 데이터를 배송 후 3개월 안에 삭제하며 민감 정보를 분리 보관하겠다고 약속했다. 법 집행기관과 블록체인 포렌식 업체와 협력해 범인을 추적하고 정보 제공자에게 10BTC(약 35만 달러) 포상금을 걸었다. 이 조치는 피해 확산을 줄이려는 목적이었다. 일부 피해자의 가상자산 도난액은 수십만 달러에 이른 것으로 전해졌다.

2021년 4월 6일 로쉬 프리드먼 로펌은 피싱 사기 피해자 존 추와 에드워드 바턴을 대표로 렛저와 쇼피파이를 상대로 샌프란시스코 법원에 집단소송을 제기했다. 원고 두 명은 피싱으로 비트코인 4.2개, 이더리움 11개, 스텔라루멘 15만 개를 잃었고 이는 약 34만 달러에 해당했다. 소송가액은 500만 달러를 초과한다고 주장됐다. 소장은 가상자산 보안 분야에 있는 렛저가 이용자 자금과 해커 사이에 서 있다는 점을 강조했다. 이 소송은 개인정보 유출 통지가 얼마나 신속했는지와 책임 소재를 다루는 첫 소송이 됐다.