핀테크 거물 '피겨(Figure)'의 보안 침공, 블록체인 기반 금융도 예외는 아니었다

보안의 성벽이 무너진 순간: 피겨(Figure) 데이터 유출 사고 발생

안녕하세요, IT와 테크의 흐름을 읽어주는 코니버스입니다. 오늘은 핀테크 업계, 특히 블록체인 기반 대출 시장의 선두주자인 피겨(Figure Technology)에서 발생한 안타까운 보안 사고 소식을 전해드립니다. 혁신적인 기술력을 자랑하던 기업도 결국 '사람'이라는 가장 취약한 보안 연결고리를 통해 침입을 허용하고 말았습니다.

핵심 요약

• 유출 경위: 직원을 대상으로 한 사회공학적(Social Engineering) 공격으로 계정이 탈취되어 내부 파일이 유출되었습니다.
• 피해 규모: 해킹 그룹 'ShinyHunters'가 약 2.5GB 분량의 고객 데이터(이름, 주소, 생년월일, 전화번호 등)를 탈취 및 공개했습니다.
• 연쇄 피해: 이번 공격은 단일 기업을 넘어 Okta 사용자들을 겨냥한 대규모 해킹 캠페인의 일환으로 밝혀져 충격을 주고 있습니다.

보도에 따르면, 이번 사고는 한 직원이 사회공학적 기법에 속아 계정 권한을 넘겨주면서 시작되었습니다. 해커들은 이를 통해 "한정된 수의 파일"을 다운로드했다고 하지만, 해킹 그룹 ShinyHunters의 주장은 훨씬 대담합니다. 그들은 피겨 측이 랜섬웨어 지불을 거부하자 다크웹에 2.5GB에 달하는 고객 정보를 공개해 버렸습니다. 여기에는 고객의 이름, 자택 주소, 생년월일 등 민감한 개인정보가 포함된 것으로 확인되었습니다.

Okta를 노린 거대한 그림자

더욱 우려스러운 점은 이번 사건이 피겨 한 곳만을 타겟팅한 것이 아니라는 사실입니다. 해커들은 Okta(싱글 사인온 제공업체)를 사용하는 고객들을 광범위하게 노렸으며, 하버드 대학교와 펜실베이니아 대학교(UPenn) 역시 같은 캠페인의 희생양이 되었습니다. 이는 기업의 개별 보안 시스템만큼이나 공급망 보안과 통합 인증 관리의 중요성이 얼마나 큰지를 다시 한번 일깨워줍니다.

코니버스의 인사이트: 기술은 높지만, 보안은 '사람'에서 결정된다

이번 사건은 핀테크와 AI, 블록체인 시장에 몇 가지 중요한 시사점을 던집니다.

• 블록체인 기술의 역설: 데이터의 무결성을 보장하는 블록체인 기술을 활용하더라도, 그 데이터를 다루는 관리 권한(SSO, 계정 등)이 뚫리면 아무런 소용이 없다는 것이 증명되었습니다. 기술적 완결성보다 운영 보안의 중요성이 부각되는 대목입니다.
• SSO 및 공급망 리스크의 현실화: Okta와 같은 통합 인증 서비스는 편리하지만, 한 번 뚫리면 연쇄적인 피해가 발생할 수 있는 '단일 장애점(Single Point of Failure)'이 될 수 있습니다. 기업들은 다중 인증(MFA) 강화와 더불어 제로 트러스트(Zero Trust) 보안 모델 도입을 서둘러야 할 것입니다.
• 신뢰 자본의 하락: 금융 서비스의 핵심은 '신뢰'입니다. 피겨는 피해 고객들에게 무료 신용 모니터링 서비스를 제공하겠다고 밝혔으나, 유출된 데이터가 이미 다크웹에 퍼진 이상 고객들의 불안감을 완전히 잠재우기는 어려워 보입니다. 이는 향후 핀테크 기업들의 투자 심리에도 부정적인 영향을 미칠 수 있습니다.

보안은 100번을 잘해도 1번의 실수로 모든 것을 잃을 수 있는 싸움입니다. 이번 피겨의 사례를 통해 우리 모두 개인정보 관리와 기업 보안 교육의 중요성을 다시 한번 되새겨야겠습니다.