[블록미디어 이성우] 2022년 디지털자산 거래소 오픈시(OpenSea)의 이메일 자동화 벤더를 통한 데이터 유출로 약 700만 개의 사용자 이메일이 유출됐으며, 최근 해당 데이터가 완전히 온라인에 공개돼 피싱 사기 위험이 커지고 있다.
디지털자산 보안업체 슬로우미스트(SlowMist)의 최고정보보안책임자(CISO) ’23pds’는 1월13일 엑스(옛 트위터)를 통해 “2022년 오픈시의 메일 서비스 제공업체를 공격해 이메일이 유출됐던 사건을 기억하는가”라며 “해당 이메일 주소들이 여러 차례 확산된 후 최근 완전히 공개됐다”고 밝혔다.
23pds는 코인텔레그래프와의 인터뷰에서 “공격은 2022년 6월 발생했지만, 최근까지 해당 데이터가 완전히 공개되지는 않았다”며 “이제 모든 공격 그룹이 이 정보를 활용해 피싱 및 사기를 시도할 수 있게 됐다”고 경고했다.
그는 ‘opensea.io_mail_list.rar’라는 파일이 포함된 텔레그램 메시지 스크린샷을 공유하며, 해당 파일에 약 700만 개의 이메일 주소가 포함돼 있다고 주장했다.
23pds는 “유출된 데이터에는 디지털자산 업계 관계자들의 이메일 정보가 포함돼 있다. 여기에는 여러 유명 인사, 기업 및 주요 오피니언 리더(KOL)들이 포함된다”고 덧붙였다.
# 오픈시 2022년 이메일 유출 경고했지만 피해 확산, 피싱 사기 예방 조치 필요
오픈시는 2022년 6월29일 커스터머아이오(Customer.io)의 한 직원이 외부로 고객 이메일 목록을 유출한 사실을 발견한 후, 고객들에게 데이터 유출 경고를 한 바 있다.
당시 오픈시는 “과거 오픈시에 이메일을 공유한 적이 있다면 영향을 받았을 가능성이 크다”며 “커스터머아이오와 협력해 추가 조사를 진행 중이며, 해당 사건을 법 집행 기관에 신고했다”고 밝혔다.
23pds는 이메일이 유출됐을 가능성이 있는 사용자들에게 △강력하고 고유한 비밀번호 설정 △비밀번호 관리자 사용 △2단계 인증(2FA) 활성화 △SMS 기반 2FA 대신 인증 앱 사용 △기기 소프트웨어 최신 업데이트를 유지할 것을 권고했다.
디지털자산 보안업체 서틱(CertiK)에 따르면, 2024년 피싱 사기로 약 296건의 사건을 통해 10억달러 이상의 디지털 자산이 도난당한 것으로 나타났다.
서틱 관계자는 “피싱은 지난해 가장 큰 피해를 일으킨 공격 수법이었다”며 “보고되지 않은 사건과 기타 피싱 사기를 포함하면 실제 피해 금액은 이보다 더 많을 것”이라고 밝혔다.
같이 보면 좋은 기사
