솔라나 모바일, 브레보 SAML SSO 뚫려 138개 계정 피싱 이메일 발송

솔라나 모바일이 이메일 마케팅 대행사 브레보(Brevo) 계정에서 무단 접근이 발생했다고 밝히며 이용자들에게 피싱 주의를 당부했다. 공격자는 브레보의 SAML 기반 단일 로그인(SSO) 시스템 취약점을 악용해 138개 고객 계정에 접근했고, 이 중 일부 계정에서 실제 피싱 이메일이 발송됐다. 하드웨어 지갑 업체 트레저는 사고로 약 34만7000명의 구독자 정보가 노출됐다고 밝혔다.

솔라나 모바일은 9월 12일(현지시각) 자사 소셜미디어를 통해 “제3자 이메일 마케팅 제공업체인 브레보에서 일부 고객 계정에 영향을 미치는 보안 사고가 발생했으며, 솔라나 모바일 계정도 포함됐다”고 공지했다. 이어 “브레보 계정에 대한 무단 접근을 확인하고 해당 계정을 비활성화했으며, 브레보와 함께 피해 범위를 파악하는 중”이라고 전했다.

브레보 SAML SSO 취약점이 부른 사고

이번 사고는 9월 9일부터 10일까지 브레보의 SAML SSO 처리 과정에서 발생했다. SAML은 다른 서비스의 계정 정보로 제3의 플랫폼에 로그인할 수 있게 해주는 인증 기술이다. 이 인증 방식에 결함이 있으면 공격자가 비밀번호 없이도 인증 토큰을 위조하거나 가로챌 수 있다.

공격자는 이 취약점을 이용해 브레보 고객 계정 138개에 접근했다. 이 중 6개 계정은 실제로 피싱 이메일을 발송하는 데 사용됐고, 43개 계정에서는 연락처 목록이 외부로 반출됐다. 브레보는 9월 10일 오전 8시30분경(UTC 기준) 공격 경로를 차단하고 활성 세션을 초기화해 추가 무단 접근을 막았다고 설명됐다.

계정 비활성화한 솔라나 모바일…“시드구문 요구 안 한다”

솔라나 모바일은 자사 계정에서 이메일이 발송된 증거는 아직 확인되지 않았다고 밝혔지만, 조사는 계속 진행 중이라고 덧붙였다. 관련 보도에 따르면 솔라나 모바일 계정 자체는 피싱 이메일 발송에 사용된 138개 계정에 포함되지 않은 것으로 보인다. 다만 크립토 업계 전반에 걸친 노출 규모를 고려해 이용자들에게 선제적으로 경고를 낸 것으로 풀이된다.

솔라나 모바일은 이용자들에게 각별한 주의를 요청하며 “회사는 절대 시드구문(지갑 복구용 단어 조합)이나 개인키, 지갑 복구 정보를 요구하지 않는다”고 강조했다. 공격자들은 탈취한 연락처 정보를 활용해 실제 브랜드를 사칭하고, 가짜 보안 이슈로 긴급성을 조성한 뒤 악성 링크나 로그인 정보 수집 페이지로 유도하는 방식을 썼다.

트레저 34만7000명 노출…비트박스·코인트래킹도 피해

트레저는 9월 9일 자사 뉴스레터 구독자 약 34만7000명에게 피싱 이메일이 발송됐다고 공개했다. 비트박스(BitBox)와 코인트래킹(CoinTracking) 역시 브레보 계정을 통한 공격을 확인했다고 밝혔다. 비트박스는 트위터를 통해 “약 1시간 전 뉴스레터 구독자에게 발송된 피싱 메일을 예비 검토한 결과, 뉴스레터 제공업체가 침해됐을 가능성이 매우 높다”며 “다른 여러 비트코인 기업들도 함께 표적이 됐고, 모두 같은 서비스를 공유하는 것으로 보인다”고 전했다.

이번 공격의 핵심은 지갑 자체에 대한 직접 침해가 아니라 연락처 데이터를 이용한 사칭 공격이라는 점이다. 공격자들은 탈취한 이메일 주소로 구독자들을 노려 로그인 정보를 빼내려 했을 뿐, 크립토 지갑에 직접 접근하는 방식은 아니었다.

한편 트레저는 앞서 배송 파트너 ShipMonk의 별도 해킹 사고로 고객 정보가 유출된 사실을 이미 공개한 바 있다. 이번 브레보 사고는 이메일 마케팅 대행사를 노린 것으로, 배송업체를 통한 앞선 유출과는 공격 경로와 대상이 다른 별개의 사고다.

반복되는 제3자 벤더 리스크…업계 대응 과제

이번 사고는 크립토 기업들이 자체 보안을 강화해도 외부 벤더의 인증 체계 결함으로 여전히 노출될 수 있다는 점을 보여준다. 개별 회사가 내부 시스템을 철저히 통제하더라도, 상류에 있는 이메일 서비스 같은 외부 인프라의 설정 오류만으로도 대규모 피해가 발생할 수 있다는 것이다.

업계에서는 제3자 벤더의 보안 태세, 특히 인증 인프라와 사고 대응 역량을 사전에 검증하는 절차가 갈수록 중요해지고 있다는 지적이 나온다. 수년간 쌓인 정상적인 마케팅 연락처 목록이 한 번의 침해로 그대로 공격 도구가 되어버리는 구조적 한계가 이번 사고에서도 재확인됐다.

크립토 관련 뉴스레터를 구독 중인 이용자라면 트레저, 비트박스, 코인트래킹, 솔라나 모바일 등 브레보를 이용하는 어떤 브랜드로부터도 정교한 피싱 이메일을 받을 가능성이 높아진 상태다. 실제 제품명과 정확한 브랜드 이미지를 활용해 긴급한 보안 이슈처럼 꾸민 메일이 발송될 수 있어, 발신 요청에 무조건 응하지 않는 것이 가장 확실한 방어책으로 꼽힌다.