하드웨어 지갑 키스톤, 고객 이름·주소 유출 확인…복구 문구는 무사

하드웨어 지갑(개인키를 인터넷과 떨어진 기기에 보관하는 지갑) 제조사 키스톤(Keystone)이 공식 웹사이트에 외부인이 무단으로 접근해 고객 배송 정보를 가져갔다고 한국 시간 25일 새벽 공식 X 계정에서 밝혔다. 이름·연락처·배송 주소·주문 내역이 노출됐고, 지갑 복구 문구와 개인키, 결제 카드 정보는 새어 나가지 않았다고 했다. 키스톤은 고객에게 사과하고, 피해 고객에게 이메일로 알리고 있다고 덧붙였다.

쇼피파이 기록을 맞춰 본 뒤에야 확인했다

키스톤에 따르면 무단 접근을 처음 감지한 것은 20일이다. 회사는 온라인 상점을 운영하는 쇼피파이(Shopify)의 API(프로그램끼리 데이터를 주고받는 통로) 활동 기록을 대조한 끝에 23일 제3자가 고객 배송 정보를 가져갔다고 결론 냈다. 감지부터 확인까지 사흘이 걸린 셈이다.

키스톤은 공식 발표에 앞서 X 이용자 제보에 답글을 달았다. 키스톤은 한국 시간 24일 오후 2시 8분 X에서 제보에 감사하다며 "긴급 조사"를 시작했다고 답했고, 약 13시간 뒤인 25일 오전 2시 59분 유출을 공식 확인했다. 회사는 접근을 차단하고 취약점을 고쳤으며 조사를 진행 중이라고 밝혔다. 피해 고객 수는 공개하지 않았고, 자세한 보고서는 곧 내겠다고 했다.

새어 나간 것, 지켜진 것

키스톤이 밝힌 노출 항목은 이름, 연락처, 배송 주소, 주문 내역(구매 품목과 가격)이다. 반대로 결제 카드·은행 정보, 복구 문구(시드 문구), 개인키, 지갑 비밀번호는 노출되지 않았다고 했다.

키스톤은 이 정보를 손에 넣은 사기범이 전화·문자·이메일·우편으로 키스톤을 사칭해 환불이나 기기 교체, 주문·주소 문제 해결을 내세울 수 있다며 "그 어느 것도 우리가 보낸 것이 아니다"라고 했다.

실제 사칭 연락을 받았다는 고객도 나왔다. 더블록에 따르면 X 이용자 'PEPE_Whale69'는 캐나다 몬트리올 경찰 번호로 위장한 전화를 받았는데, 상대가 아마존·이베이·키스톤이라는 이름에 짚이는 게 있느냐고 물었고 2024년 키스톤 주문과 일치하는 정보를 알고 있었다고 했다. 이 이용자는 키스톤보다 먼저 X에서 유출 가능성을 제기한 사람이기도 하다.

'180일 뒤 삭제' 약속, 지켜졌나

키스톤은 그동안 배송 정보 보호를 강점으로 내세웠다. 홈페이지 개인정보 약속 페이지에는 "모든 배송 정보는 주문 후 180일이 지나면 자동 삭제된다"고 적혀 있고, 배송이 끝난 직후 바로 지워 달라고 요청할 수도 있다고 안내한다. 올해 1월 5일에는 X에서 주문 180일 뒤 배송 정보를 영구 삭제한다고 했고, 3월 8일에는 다른 하드웨어 지갑과 달리 배송 정보를 최대 180일 안에 지운다고 홍보했다.

다만 운영사 얀시HK(Yanssie HK Limited) 명의로 2021년 5월 15일 마지막으로 고친 개인정보처리방침의 기준은 조금 다르다. 이 방침은 주문 정보를 쇼피파이 정책에 맞춰 보관하고, "최근 180일 안에 주문하지 않은 고객"의 주문 정보를 모두 지운다고 적고 있다.

더블록에 따르면 한 고객은 X에서 2년도 더 전에 산 제품인데 유출 통보 이메일을 받았다고 했고, 다른 고객은 마지막 주문 뒤 214일이 지났다고 적었다. 더블록은 이런 주장을 확인하지 못했다고 밝혔고, 키스톤도 180일 삭제 원칙이 실제로 지켜졌는지는 아직 설명하지 않았다. 키스톤은 홍콩에 주소를 둔 업체로, 메타마스크·OKX 웹3 지갑·지캐시 등을 전략 파트너로 소개하고 있다.