키스톤, 기기 진품 인증 키도 털려…재고 1만8천대 폐기

하드웨어 지갑(개인키를 인터넷과 떨어진 기기에 보관하는 지갑) 제조사 키스톤(Keystone)이 지난주 웹사이트 해킹 때 고객 정보뿐 아니라 기기가 진품인지 확인하는 데 쓰는 인증 키까지 빼앗겼다고 밝혔다. 키스톤은 한국 시간 26일 밤 공식 X에 올린 사고 보고서에서 이 키가 든 재고 1만8,835대를 폐기하고, 공식 웹사이트에서 받은 주문의 출고를 모두 멈췄다고 했다. 지난 25일 배송 정보 유출을 처음 인정한 지 이틀 만에 피해 범위가 기기 쪽으로 넓어졌다.

진품 확인용 키, 공장에서 심어 지울 수도 없다

키스톤에 따르면 공격자는 웹사이트가 쓰던 외부 데이터 모니터링 도구의 취약점을 이용해 권한을 높였고, 이를 통해 고객 정보 일부와 기기 인증 키를 얻었다. 키스톤은 이 키를 공식 웹사이트의 기기 인증 페이지에서 기기가 진품인지 확인하는 WebAuth 과정에 쓴다.

이 키는 제조할 때 기기에 기록되며 지우거나 다시 쓸 수 없다. 복구 문구를 만들거나 개인키를 뽑아내거나 거래에 서명하는 데는 쓰이지 않는다고 회사는 설명했다. 문제는 진품 판정 자체다. 키스톤은 키가 노출되면 공격자가 인증 검사를 통과하는 가짜 기기를 만들 수 있고, 이런 기기가 고객에게 팔리거나 배송돼 진품처럼 쓰이면 자산 도난으로 이어질 수 있다고 밝혔다.

재고 1만8,835대는 부수고, 출고는 새 키가 나온 뒤에

키스톤은 즉시 생산 라인에서 옛 키 사용을 멈추고, 새로 만드는 기기에는 모두 새 인증 키를 넣는다고 했다. 옛 키가 들어간 재고 1만8,835대는 팔거나 배송하지 않고 폐기한다. 공식 웹사이트에서 아직 보내지 않은 주문은 출고를 멈췄고, 새 키 기기 생산이 끝날 때까지 판매는 예약 주문으로 바꾼다.

기존 사용자에 대한 안내는 무단 접근을 처음 알아챈 10월 20일을 기준으로 갈린다. 그 전에 받은 기기는 인증 기능에 영향이 없어, 인증을 통과하면 진품으로 보고 그대로 써도 된다고 했다. 20일 이후 받은 옛 키 기기는 인증을 통과해도 가짜일 가능성을 완전히 배제할 수 없다며, 인증 페이지 안내에 따라 고객지원에 추가 확인을 받은 뒤에만 쓰라고 당부했다.

'180일 뒤 삭제' 약속, 자동 도구가 멈춰 못 지켰다

개인정보 피해 규모도 처음 나왔다. 키스톤에 따르면 이번 사고와 관련된 것은 공식 웹사이트 쇼피파이(Shopify) 상점에서 생긴 구매 기록 5만1,083건이다. 이 중 2만5,119건은 보관 정책에 따라 이미 개인정보가 지워져 있었고, 나머지 2만5,964건(2024~2026년)에 이름·연락처·배송 주소·주문 정보가 남아 있었다. 아마존 등 다른 판매 채널 구매 정보는 영향을 받지 않았다. 결제까지 가지 않은 주문서 기록 1만2,873건에도 이름·연락처·배송 정보가 담겨 있어 대응 대상에 넣었다.

키스톤이 홈페이지에서 내세워 온 '주문 180일 뒤 배송 정보 삭제' 약속은 지켜지지 않은 것으로 확인됐다. 키스톤은 쇼피파이에서 기록을 하나씩 지우는 일이 비효율적이어서 대량 삭제용 자동 도구를 만들었지만 "도구가 안정적으로 작동하지 않았다"며, 일부 삭제 작업이 실패한 것을 제때 알아채지 못했다고 인정했다. 회사는 24일 쇼피파이에 기한이 지난 데이터 삭제를 요청했고, 10일 대기 기간을 거쳐 11월 3일 삭제가 끝날 예정이라고 했다. 개인정보 보관 기간은 180일에서 90일로 줄인다. 피해 고객에게는 이메일로 개별 통지하고, 유출 여부 조회 페이지도 열 계획이다. 유럽연합(EU)·영국 등 관할 당국에는 이미 신고했다고 밝혔다.