레저 고객 정보 유출 사건

1.6월 침입과 7월 공지#

레저가 2020년 7월 29일 낸 공지에 따르면 7월 14일 회사 버그바운티 프로그램에 참여한 연구자가 웹사이트의 정보 유출 가능성을 알려 왔다. 레저는 곧바로 문제를 막고 내부 조사를 벌였고, 일주일 뒤 이 허점이 이미 6월 25일 권한 없는 제3자에게 악용됐다는 사실을 확인했다. 침입자는 API 키로 주문 확인과 홍보 메일 발송에 쓰던 전자상거래·마케팅 데이터베이스 일부에 접근했고, 레저는 그 키를 비활성화했다. 회사는 주로 고객 이메일 주소 약 100만 개가 빠져나갔고, 그 가운데 약 9,500명은 이름·우편 주소·전화번호·주문 제품까지 노출됐다고 밝혔다. 결제 정보와 암호화폐 자산은 안전하다고 했다.

2.12월 20일 데이터 공개#

포크로그에 따르면 10월 말 해킹 포럼 익스플로잇(exploit.in)에 '폴라리스'라는 이용자가 이 데이터베이스를 처음 12.5 BTC에 팔겠다고 올렸다. 이를 약 5 BTC에 산 것으로 알려진 '하이퍼드릴'은 12월 20일 같은 자료가 더 싸게 다시 매물로 나오자 "판매자가 약속을 지키지 않았다"며 해킹 자료 공유 사이트 레이드포럼스(RaidForums)에 전체를 무료로 풀었다. 디크립트는 공개된 자료에 이메일 100만여 개와 실물 주소·전화번호 27만여 건이 들어 있었고, 유출 확인 사이트 해브아이빈폰드(Have I Been Pwned)가 그 이메일의 69%를 6월 유출분으로 이미 등록해 두었다고 전했다. 레저는 12월 21일 최고경영자 명의 글에서 7월 외부 보안 업체의 로그 분석으로는 이메일 약 100만 개와 상세 정보 9,532건만 확인됐지만, 공개된 자료에는 분석한 로그에 없던 상세 정보 약 27만 2,000건이 들어 있다고 인정했다. 카사의 제임슨 로프는 유출 고객 가운데 사서함 주소로 주문한 사람이 1%뿐이었다고 지적했다.

3.피싱 위협과 집단소송#

유출 뒤 레저 고객들은 지갑이 정지됐다며 복구 문구를 입력하라는 가짜 메일과 문자를 잇달아 받았다. 레저는 24개 단어로 된 복구 문구를 누구에게도 알려 주지 말라고 거듭 안내하고, 회사는 문자나 전화로 연락하지 않는다고 밝혔다. 집 주소 노출로 강도 같은 물리적 공격을 걱정하는 고객에게는 PIN을 세 번 틀리면 기기가 초기화되는 기능, 두 번째 PIN에 별도 계정을 연결하는 암호 구문 기능, 복구 문구를 집 금고보다 은행 금고에 두는 방법 등을 권했다. 2021년 4월 고객들은 미국 캘리포니아 북부 연방지방법원에 레저와 전자상거래 플랫폼 업체 쇼피파이를 상대로 집단소송을 냈다. 소장은 두 회사가 유출을 "부주의하게 허용하고 무모하게 무시한 뒤 의도적으로 은폐하려 했다"고 주장했다. 법원은 2021년 11월 8일 프랑스 회사 레저와 캐나다 오타와에 본사를 둔 쇼피파이에 대해 관할권이 없다며 소송을 기각했다. 레저는 이후 레저 리커버 논란과 커넥트 키트 공격으로 다시 보안 신뢰 문제를 겪었다.

4.연표4건

1. 2020.06사건6월25일 API 키로 전자상거래·마케팅 데이터베이스 무단 접근
2. 2020.07이정표7월29일 이메일 약 100만·상세 정보 약 9,500명 유출 공지
3. 2020.12사건12월20일 레이드포럼스에 상세 정보 약 27만 2,000건 공개
4. 2021.11규제11월8일 미국 법원, 관할 없음으로 집단소송 기각