가짜 '정부' 이메일 한 통에 고객 680명 정보 유출한 Revolut: 여권·셀피·비트코인 거래 내역 전부 노출, 해커는 10,000 BTC 요구 — KYC가 암호화폐 업계에서 가장 위험한 '보물창고'가 된 이유

2026년 9월 16일 — CryptoStockVN

서버는 뚫리지 않았다. 개인키도 도난당하지 않았다. 고객 계좌에서 단 한 푼도 빠져나가지 않았다. 그런데도 8,000만 명 이상의 고객을 둔 유럽 최대 디지털 은행 Revolut는 약 680명 고객의 여권 사본, 본인확인 셀피, IBAN 계좌번호, 그리고 비트코인 거래 내역 전체를 낯선 사람에게 제 손으로 넘겨줬다고 인정해야 했다. 이유는 간단하다. 그 낯선 사람이 실제 정부기관 도메인에 있는 메일함에서 '정보 제공 요청'을 보냈고, Revolut 컴플라이언스 부서가 이를 합법적인 법적 명령으로 받아들였기 때문이다.

9월 15일, 사태는 한층 심각한 국면으로 넘어갔다. 영국 정보보호위원회(ICO)가 평가에 착수했고, 영국 금융감독청(FCA)은 "회사와 협의 중"이라고 밝혔으며, 스스로를 "Revolut Smilik"이라 칭하는 조직이 여권과 셀피를 한 건씩 온라인에 공개하기 시작하면서 Revolut가 10,000 BTC를 지불할 때까지 매일 추가 데이터를 풀겠다고 위협했다. 9월 15일 비트코인 가격 약 78,000달러 기준으로 약 7억 8,000만 달러에 해당한다. 이 글은 사건을 시간순으로 재구성하고, 왜 '법적 요청'이 어떤 방화벽으로도 막을 수 없는 가장 큰 취약점인지 분석하며, 암호화폐 이용자 — 시범 인가를 받은 거래소들이 바로 이번에 유출된 것과 똑같은 종류의 데이터를 수집하고 있는 베트남 이용자를 포함해 — 를 위한 교훈을 정리한다.

1. 타임라인: 모호한 통지에서 680이라는 숫자와 협박까지

680명은 Revolut 전체 고객의 약 0.00085%에 불과하다. 그러나 이번 건은 무작위 대량 유출이 아니다. ZachXBT의 평가에 따르면 표적 명단은 자산 규모가 크고 암호화폐 활동이 활발한 고객에 집중돼 있다. 유출된 데이터의 성격을 고려하면, '선별된' 680건의 프로필은 평범한 이메일 주소 6,800만 개보다 훨씬 위험할 수 있다.

2. Revolut에서 빠져나간 데이터는 무엇인가?

Revolut의 통지 메일은 유출됐을 가능성이 있는 정보를 네 가지로 분류했다. 이를 나란히 놓으면 어떤 공격자든 꿈꾸는 '완전한 파일'이 된다:

• 신원: 성명, 생년월일, 직업.
• 연락처: 우편 주소, 이메일, 전화번호.
• KYC 서류: 여권 또는 운전면허증 사본, 그리고 계좌 개설 시 촬영한 본인확인 셀피.
• 금융 기록: 계좌 명세서, IBAN, 출금 기록, 그리고 비트코인 활동을 포함한 전체 거래 내역.

Revolut는 셀피와 신분증을 대조하는 데 쓰이는 생체 인식 데이터(biometric telemetry)는 공유되지 않았다고 강조한다. 그러나 이것이 사태의 심각성을 낮추지는 못한다. 공격자에게 Revolut의 얼굴 인식 알고리즘은 필요 없다 — 이미 본인의 얼굴, 본인의 여권, 본인의 집 주소를 손에 넣었기 때문이다.

이번 사건이 일반적인 은행 정보 유출과 근본적으로 다른 점은 실명 신원과 비트코인 내역의 결합이다. 비트코인 거래는 블록체인에 공개돼 있지만 익명이며, 보호의 힘은 어떤 주소가 누구의 것인지 아무도 모른다는 데서 나온다. 은행이 고객의 이름, 얼굴 사진, 집 주소를 BTC 출금 기록에 붙여 버리면 그 보호막은 완전히 사라진다. 범죄자는 이제 고객이 출금한 주소를 추적하고, 현재 잔고를 추정하며, 정확히 누구 집으로 가야 하는지 알게 된다.

3. 취약점은 코드에 있지 않다: '법적 요청'은 합법적인 뒷문이다

모든 은행, 거래소, 수탁 지갑에는 당국의 요청에 대응하는 전담 부서가 있다. 법원, 경찰, 세무당국, 자금세탁방지 기관이 그 상대다. 이 부서는 협조하도록 설계돼 있다. 거부하거나 지체하면 수사 방해로 간주될 수 있기 때문이다. 공격자가 노린 지점이 바로 여기다.

Revolut에 따르면 위조 이메일은 유효한 도메인 인증 정보를 갖추고 있었다. 즉 '비슷해 보이는' 이메일이 아니라, 해당 정부기관의 인프라에서 실제로 발송된 이메일이었다(계정 탈취, 내부자 남용, 또는 계정 생성 취약점). 메일 필터링 시스템에는 완벽히 깨끗한 이메일이고, 컴플라이언스 담당자에게는 국가기관의 공문이다. 방화벽도, 이중 인증도, 코드 감사도 이를 막을 수 없다 — 시스템이 설계된 대로 정확히 작동했기 때문이다.

Revolut가 아직 답하지 않은 세 가지 질문이 있으며, 그 답이 ICO 앞에서 회사의 과실 정도를 결정할 것이다:

1. 어느 기관이 사칭됐나? Recorded Future News는 텔레그램에 유포된 협박 자료가 이탈리아 도메인을 가리킨다고 전했지만, Revolut는 확인하지 않았고 이탈리아 당국도 답하지 않았다. 공격자가 수개월간 '유럽 수사 명령(EIO)' 양식의 위조 서류를 사용했다는 주장은 아직 의혹 수준이다.
2. 몇 건의 요청에 얼마 동안 응답했나? 680건의 파일이 이메일 한 통에 담겼을 가능성은 낮다. 공격자가 수십 건의 요청을 나눠 보냈고 전부 응답을 받았다면, 문제는 직원 한 명의 부주의가 아니라 교차 검증 단계가 없는 프로세스(공개된 전화번호로 기관에 회신 확인, 사건 번호 대조, 전자서명 검증)다.
3. 어느 법인이 처리했나? Revolut의 유럽 은행 인가는 리투아니아의 Revolut Bank UAB에 속하며 ECB와 리투아니아 중앙은행의 감독을 받는다. 빌뉴스의 법적 요청 처리 데스크가 데이터가 빠져나간 지점이라면, 영국 ICO 외에 리투아니아 개인정보보호 당국과 ECB 모두 관할권을 갖는다.

이런 유형의 공격은 보안 업계에서 고유한 이름을 갖고 있다: '위조 긴급 데이터 요청'(fraudulent emergency data request). 2021~2023년 Apple, Meta, Discord 등 여러 대형 플랫폼을 공격했으며, 주로 IP 주소와 전화번호를 얻는 데 쓰였다. Revolut 사건의 새로운 점은 표적이다. 단순한 식별 정보가 아니라 디지털 자산을 많이 보유한 집단의 완전한 KYC 파일 — 즉 훨씬 더 큰 가치를 노리는 다음 공격을 위한 준비 단계다.

4. 10,000 BTC: 터무니없는 숫자와 진짜 메시지

기업가치가 수백억 달러로 평가되는 회사에 10,000 BTC(약 7억 8,000만 달러)를 요구하는 것은 협박범의 논리로는 '합리적'으로 들릴지 모르지만, 거의 확실히 받아들여지지 않을 것이다. 이미 데이터를 가진 자에게 몸값을 지불해도 데이터는 회수되지 않으며, Revolut가 다시 공격할 가치가 있는 표적임을 확인시켜 줄 뿐이다. City AM에 따르면 양측은 직접 접촉한 바 없으며, Revolut는 어떤 협상도 확인하지 않았다.

이 숫자는 Revolut가 아니라 피해자 680명에게 보내는 메시지로 읽어야 한다: "당신의 데이터는 매일 공개될 것이다." 암호화폐 보유자에게 여권 + 셀피 + 주소 + 비트코인 내역이 공개될 때 벌어지는 현실적 결과는 다음과 같다:

• 물리적 공격("5달러 렌치 공격"): 범죄자가 당신이 BTC를 얼마나 갖고 있고 어디에 사는지 알면, 아무리 강력한 비밀번호도 의미가 없다. 2025~2026년 프랑스, 스페인, 미국에서 지갑 소유자 납치·강요 사건이 잇따라 발생했다.
• SIM 스와핑: 전화번호, 생년월일, 주소, 여권 사진이 있으면 공격자는 통신사를 설득해 SIM을 재발급받고, 다른 거래소의 OTP 인증을 우회할 재료를 충분히 갖춘 셈이다.
• 맥락형 피싱(contextual phishing): 당신이 BTC를 출금한 정확한 금액과 날짜를 언급하는 'Revolut 발신' 이메일은 일반 피싱 메일보다 몇 배나 더 신뢰를 얻는다.
• 명의 도용 계좌 개설: 여권 + 셀피는 다른 거래소에서 피해자 명의로 계좌를 열어 자금세탁이나 신용대출에 쓸 수 있는 완전한 KYC 세트다.

5. Revolut의 법적 위험: GDPR, 미국 인가, 그리고 '주의 의무'라는 질문

영국 GDPR에 따라 ICO는 최대 1,750만 파운드 또는 전 세계 매출의 4% 중 큰 금액을 과징금으로 부과할 수 있다. 그러나 과징금이 가장 큰 위험은 아니다. 더 우려스러운 세 가지가 있다:

• 시점. 사건은 OCC가 Revolut의 미국 은행에 조건부 승인을 내린 지 일주일 남짓 지나 발생했다. 남은 두 관문인 FDIC와 연준은 운영 리스크 관리 역량을 매우 엄격히 심사한다. 이메일에 속아 넘어간 컴플라이언스 프로세스가 이보다 나쁜 시점에 드러나기도 어렵다.
• 민사 책임. 피해자 중 누구라도 유출된 데이터 때문에 물리적 공격을 당하거나 자산을 잃는다면, "Revolut가 요청을 검증할 때 충분한 주의 의무를 다했는가"라는 질문은 ICO 앞이 아니라 법정에서 제기될 것이다.
• 가장 가치 있는 고객층의 신뢰. 고액 자산 암호화폐 고객은 Revolut에 가장 높은 거래 수수료를 안겨 주는 집단이며, 자신의 신원이 가볍게 다뤄졌다고 느끼는 순간 가장 쉽게 떠나는 집단이기도 하다.

Revolut에 공정해야 할 대목이 하나 있다. 회사는 탐지 후 해당 이메일 주소를 차단했고, 사칭된 기관·경찰·개인정보보호 당국·금융감독 당국에 통보했으며, 고객 한 명 한 명에게 직접 연락했다. 이 대응 속도는 업계 표준보다 훨씬 낫다. 문제는 그 이전 단계 — "왜 정부기관이 680명의 셀피와 비트코인 내역을 필요로 하는가?"라고 누군가 물었어야 할 단계 — 에 있다.

6. 더 큰 그림: KYC는 업계 전체가 지켜야 할 '보물창고'가 되고 있다

Revolut 사건은 단독으로 일어난 것이 아니다. 같은 주에 Swiss Bitcoin Pay가 별도의 사이버 공격으로 이용자 데이터 유출을 겪었고, 9월 11일 IDScan은 운전면허증 1억 5,300만 건이 다크웹에 유출됐다고 확인했으며, 9월 15일 EU 사이버복원력법(Cyber Resilience Act)이 발효돼 암호화폐 지갑 개발자에게 24시간 내 취약점 보고를 의무화했다.

전체 구도는 이렇다. 전 세계 자금세탁방지 규제는 암호화폐 거래소를 포함한 모든 금융기관에 고객의 신분증, 얼굴 사진, 거래 내역을 수집하고 수년간 보관하도록 강제한다. 그 결과 전 세계에 거대한 KYC 데이터 저장소 수천 개가 흩어져 있고, 각각이 표적이며, 각각에 당국을 위한 '합법적 문'이 나 있다. 요청 권한을 가진 기관이 많을수록 사칭될 수 있는 도메인도 많아진다.

암호화폐 업계는 '최소 KYC'와 신원에 대한 '영지식 증명'(zero-knowledge proof)을 논의해 왔다. 여권 사본을 제출하지 않고도 18세 이상이거나 제재 명단에 없음을 증명할 수 있게 하자는 것이다. Revolut 사건은 2020년 Ledger 유출 이후 그 방향을 지지하는 가장 강력한 논거다: 수집되지 않은 데이터는 유출될 수 없는 데이터다.

7. 베트남에 주는 교훈: 시범 거래소, 개인정보보호법, 그리고 이용자

베트남은 규제된 암호자산 시장을 구축하는 초기 단계에 있다. 결의안 05/2025/NQ-CP에 따른 시범 제도는 인가 거래소에 완전한 KYC를 요구하고, 2026년 1월 1일 발효된 개인정보보호법은 데이터 처리 기관에 의무와 제재를 부과한다. Revolut 사건은 사후에 땜질하는 대신 처음부터 설계해야 할 세 가지를 보여 준다:

1. 당국 요청 검증 절차는 양방향이어야 한다. 공식 채널로 공문을 접수하고, 공개된 전화번호로 회신 확인하며, 문서 번호를 대조해야 한다 — 이메일 도메인만 보고 응답해서는 안 된다. 그 도메인이 ".gov.vn"이라 해도 마찬가지다.
2. KYC 저장소를 거래 데이터와 분리하고, 둘을 동시에 조회할 권한을 제한해야 한다. Revolut 사건의 가장 큰 위험은 신원과 비트코인 내역이 한 세트로 동시에 반출됐다는 점이다.
3. 피해 고객에게 투명하고 신속하게 통지해야 한다. Revolut는 통지 메일에서 공개 확인까지 이틀이 채 걸리지 않았다. 베트남 이용자가 국내 거래소에 요구해야 할 기준이다.

개인 이용자라면 Revolut든 어떤 거래소든 몇 가지 단순한 방어 원칙이 있다. 은행과 모든 암호화폐 거래소에 같은 전화번호를 쓰지 말 것, SIM PIN을 설정하고 통신사에 전화를 통한 SIM 교체 차단을 요청할 것, SMS OTP 대신 하드웨어 보안 키를 쓸 것, 불필요하게 실명과 연결된 곳에 큰 자산을 두지 말 것, 그리고 당신의 특정 거래를 언급하는 모든 이메일은 공식 앱으로 확인하기 전까지 의심할 것.

결론

Revolut는 통상적인 의미에서 해킹당하지 않았고, 어쩌면 그것이 가장 무서운 점이다. 자기 일을 제대로 한 — 당국에 협조한 — 컴플라이언스 부서가, 아무도 반대로 질문하지 않았다는 이유만으로 암호화폐 자산가 680명의 가장 민감한 데이터를 바깥으로 내보내는 통로가 됐다. 10,000 BTC 몸값은 거의 확실히 지불되지 않을 것이고, ICO는 과징금을 부과할 수도 안 할 수도 있으며, 미국 은행 인가는 몇 달 늦어질 수 있다. 그러나 여권과 얼굴과 비트코인 지갑이 텔레그램에 나란히 놓인 680명에게 피해는 끝나는 날이 없다.

가장 큰 교훈은 Revolut만의 것이 아니라 디지털화되고 있는 금융 시스템 전체의 것이다: 모든 기관이 고객이 누구인지 반드시 알아야 할 때, 가장 중요한 질문은 이것이 된다 — 누가 물어볼 자격이 있고, 묻는 자가 진짜인지 어떻게 아는가.

면책 고지: 이 글은 정보 제공과 분석을 목적으로 하며 투자, 법률, 개인 보안에 관한 조언이 아닙니다. 수치는 2026년 9월 15일(영국 시간) 기준 공개 자료를 종합한 것이며, 사건은 진행 중이고 일부 세부사항(사칭된 기관, 요청 건수, 협박 조직의 정체)은 독립적으로 검증되지 않았습니다. 비트코인 가격은 변동성이 크며, 10,000 BTC ≈ 7억 8,000만 달러 환산은 9월 15일 약 78,000달러 가격을 기준으로 합니다. 독자는 어떤 결정을 내리기 전에 스스로 조사하고 위험을 검토해야 합니다.

참고 자료: The Crypto Times(2026년 9월 15일) — "Revolut Data Breach Hits 680 Customers, UK Opens Probe as Hackers Demand 10,000 Bitcoin"; Help Net Security(9월 14일) — "What we know about the Revolut data breach so far"; The Register(9월 14일) — "Revolut falls for fake government requests, hands over customer data"; 파이낸셜타임스 및 City AM(9월 15일); 로이터 및 TechCrunch(9월 12일) — Revolut 확인 성명; RTÉ, El Español, Profit.ro(9월 15일) — 국가별 수치; Recorded Future News — 이탈리아 도메인 가설; 블룸버그 및 Banking Dive(9월 3일) — OCC 조건부 승인; KuCoin Daily Market Report(9월 15일) — 시장 가격.