100만 명 개인정보 털린 핀테크 거대기업의 침묵

967,200명의 개인정보가 한순간에 사라졌다

블록체인 기반 대출업체 Figure에서 발생한 데이터 유출 사건의 실제 피해 규모가 드러났다. 보안 전문가 트로이 헌트가 해커들이 공개한 데이터를 분석한 결과, 97만 명에 달하는 고객의 이메일 주소가 포함되어 있었다고 18일 밝혔다.

유출된 정보는 이메일 주소에 그치지 않는다. 고객 이름, 생년월일, 실제 주소, 전화번호까지 포함된 2.5GB 분량의 데이터가 해커그룹 ShinyHunters의 리크 사이트에 공개됐다. 이들은 기업을 협박하고, 돈을 받지 못하면 훔친 데이터를 공개하는 방식으로 악명 높다.

기업의 '제한적' 발표 vs 실제 피해 규모

Figure는 지난주 데이터 유출 사실을 인정하면서도 "제한된 수의 파일"만 도난당했다고 발표했다. 구체적인 피해 규모나 유출된 데이터의 종류는 공개하지 않았다. 하지만 보안 전문가의 분석 결과는 기업 발표와 상당한 온도차를 보인다.

Have I Been Pwned 사이트를 운영하는 헌트는 해커들이 공개한 데이터를 직접 분석해 967,200개의 고유 이메일 주소를 확인했다고 밝혔다. Figure는 이에 대한 논평 요청에 응답하지 않고 있다.

이런 대응은 핀테크 업계에서 흔한 패턴이다. 피해를 최소화해 보이려는 기업과, 실제 데이터를 분석하는 보안 전문가들 사이의 엇갈린 발표가 반복되고 있다.

핀테크의 딜레마: 혁신 vs 보안

Figure는 블록체인 기술을 활용한 대출 서비스로 주목받아왔다. 전통 금융기관보다 빠르고 편리한 서비스를 제공하지만, 이번 사건은 핀테크 기업들이 직면한 근본적 딜레마를 드러낸다.

빠른 성장을 위해 디지털 우선 전략을 택한 핀테크들은 상대적으로 보안 투자가 뒤처지는 경우가 많다. 전통 은행들이 수십 년간 쌓아온 보안 인프라와 경험을 단기간에 따라잡기 어렵기 때문이다.

한국의 핀테크 기업들도 예외가 아니다. 토스, 카카오뱅크 등 주요 핀테크들은 보안 투자를 늘리고 있지만, 해커들의 공격 기법도 날로 정교해지고 있다.