솔라나 모바일, Brevo 보안 침해 이후 피싱 위험에 대한 사용자 경고

• 솔라나 모바일은 자사의 제3자 마케팅 제공업체인 브레보에 무단 접근이 있었음을 공개했으며, 이로 인해 사용자 계정이 즉시 정지되고 보안 경고가 발령되었습니다.
• 이 침해로 인해 크립토 산업 전반에 걸쳐 138개의 고객 계정이 노출되었으며, 그 중에는 트레조어도 포함되어 있습니다. 이로 인해 수십만 명의 사용자를 대상으로 한 대규모 피싱 활동이 가능해졌습니다.
• 공격자들은 SAML Single Sign-On 취약점을 이용하여 합법적인 이메일 인프라에 접근했으며, 이를 통해 위조된 보안 알림을 배포하고 월렛의 백업 데이터를 훔쳤습니다.
• 솔라나 모바일은 자신들의 침해된 계정에서 어떠한 이메일도 전송되지 않았다고 강조했지만, 사용자들에게 보안 정보를 탈취하려는 시도에 주의할 것을 당부했습니다.

솔라나 모바일은 자사의 제3자 이메일 마케팅 서비스 제공업체인 Brevo와 관련된 보안 문제를 확인했습니다. 회사는 Brevo 계정에 무단 접근이 있었으며, 이로 인해 일부 고객 계정이 영향을 받았다고 밝혔습니다. 회사는 위험을 줄이기 위해 즉시 해당 계정을 비활성화했습니다. 현재 솔라나 모바일은 Brevo와 협력하여 액세스된 정보의 전체 내용을 파악하기 위해 노력하고 있습니다.

현재까지 회사는 이 사건 당시 솔라나 모바일 계정에서 어떠한 이메일도 전송되지 않았다고 밝혔습니다. 하지만 확인 작업이 계속되고 있습니다. 솔라나 모바일은 성명서에서 표준적인 보안 프로토콜을 강조했으며, 사용자들에게 회사가 결코 시드 문구나 개인 키, 혹은 워렛 복구 정보를 요청하지 않을 것이라고 전했습니다. 이 사건은 암호화폐 분야에서 제3자 서비스 제공자와 관련된 더 큰 보안 위험을 보여줍니다.

이 공격은 이메일 서비스 제공업체인 Brevo에 대한 더 큰 공급망 공격의 일부입니다. 해커들은 SSO 결함을 이용하여 Trezor, CoinTracking, BitBox와 같은 암호화폐 회사들에게 유력한 피싱 이메일을 보낼 수 있었습니다. Brevo의 로그인 시스템에 있는 권한 관리 결함으로 인해 공격자들은 138개의 고객 계정에 접근할 수 있었으며, 그 결과 Trezor, BitBox, CoinTracking가 사용하는 계정들을 통해 피싱 이메일이 전송되었습니다. Brevo는 여러 조직에 속한 사용자들의 권한 처리 방식에 있는 취약점 때문에 이러한 사건이 발생했다고 밝혔습니다.

공격자는 Brevo 계정을 만들고 단일 로그인 기능을 활성화시켜 합법적인 사용자들을 초대했습니다. 공격자의 조직에만 제한되지 않고, SSO 설정으로 인해 해당 사용자들이 접근할 수 있는 모든 조직에도 접근 권한이 주어졌습니다. 6개의 계정을 이용하여 피싱 이메일을 발송했으며, 43개의 계정에서 연락처 정보가 전송되었습니다. 이 사건은 Trezor의 타사 배송 서비스 제공업체인 ShipMonk에서 발생한 데이터 유출 사건과 관련이 있습니다. 이로 인해 거의 14,000명의 개인정보와 67,000명의 미국 고객의 정보가 유출되었으며, 이는 표적화된 피싱 공격의 위험을 증가시키는 요인이 됩니다.

브레보 침해의 범위는 무엇이었나요?

Brevo의 SAML 단일 로그인 시스템에 있는 취약점으로 인해 공격자들은 솔라나 모바일의 마케팅 플랫폼을 포함한 138개의 고객 계정을 침해할 수 있었습니다. 이번 침해로 수십만 명의 암호화폐 사용자들이 피싱 캠페인의 대상이 되었으며, 공격자는 전자 메일 목록을 이용하여 사용자의 자산을 도난당하는 것이 아니라 그 목록을 활용하여 피싱 행위를 수행했습니다. 이메일 마케팅 플랫폼은 암호화폐 기업들에게 매우 중요한 인프라가 되지만, Brevo(구 Sendinblue)에서 발생한 최근의 침해 사건은 제3자 공급업체 관리에 있어서 심각한 위험이 있다는 것을 보여줍니다.

2026년 9월 9일부터 10일까지, 공격자들은 Brevo의 SAML SSO 처리 방식의 취약점을 이용하여 138개의 고객 계정에 무단으로 접근했습니다. SAML은 보안 인증을 용이하게 하는 기술입니다. 하지만 잘못 설정될 경우, 공격자들이 비밀번호 없이도 인증 토큰을 조작하거나 훔칠 수 있습니다. 이 공격의 영향은 특히 암호화 분야에 집중되었습니다. 공격자들은 6개의 계정을 이용해 피싱 이메일을 보내고, 43개 계정의 연락처 목록을 도난당했습니다.

트레조르는 피싱 이메일이 약 347,000명의 뉴스레터 구독자에게 도달했다고 밝혔습니다. 비트박스와 코인트래킹과 같은 다른 회사들도 자신들의 Brevo 계정이 침해되었다고 확인했습니다. 솔라나 모바일은 사용자들에게 피싱 위험이 높다고 경고했으며, 자사의 계정이 138개의 침해된 계정 중에 포함되지 않았지만, 전반적인 위험 상황을 고려하여 공개적으로 알려야 한다고 말했습니다.

피싱 캠페인은 어떻게 작동했나요?

트레조르는 제3자 마케팅 플랫폼인 브레보가 해킹된 후, 약 347,000명의 고객이 피싱 이메일을 받았다고 보고했습니다. 브레보는 공격자가 해당 플랫폼의 SAML Single Sign-On(SSO) 기능을 악용했다고 설명했습니다. 공격자는 자신의 계정에서 SSO 기능을 활성화하고, 합법적인 사용자들을 초대하여 그들의 신원 제공자를 이용해 로그인하도록 했습니다. 하지만 접근 권한이 제대로 제한되지 않았으며, SSO가 활성화된 단일 조직에만 국한되는 것이 아니라, 해당 사용자가 접근할 수 있는 모든 조직에 대한 접근 권한이 부여된 것입니다.

공격자는 138개의 손상된 계정 중 6개에 저장된 이메일 주소로 피싱 메일을 발송했으며, 43개의 계정에서 연락처 정보를 도난당했습니다. 공격 대상이 된 고객 중에는 Trezor도 있었는데, Trezor는 피싱 이메일에 “중요한 보안 경고: STM32 Entropy 취약점”이라는 제목과 악성 웹사이트로 연결되는 링크가 포함되어 있다고 알렸습니다. Trezor는 사용자가 웹사이트에 자산을 입력하면 자산이 손실될 수 있다고 경고했습니다. 약 2,500명의 사용자가 그 링크를 클릭했지만, 발견된 지 20분 후에 그 링크는 차단되었습니다.

피싱 캠페인들은 표준적인 방식을 따랐습니다. 신뢰할 수 있는 브랜드를 가장하여, 가짜 보안 문제를 만들어내고, 사용자들을 악성 페이지로 유도하는 것이었습니다. 중요한 점은, 공격자들이 직접 개인 키나 월렛을 침해하지 않았다는 것입니다. 대신, 합법적인 연락처 정보를 이용하여 공격의 신뢰성을 높였습니다. 이 사건은 암호화폐 기업들에게 필요한 주의 의무가 부족하다는 것을 보여줍니다. 회사들은 자신들의 내부 시스템을 안전하게 보호할 수 있지만, 상위 공급업체의 잘못된 설정으로 인해 여전히 위험에 처할 수 있습니다. 이 침해 사건은, 수년간의 마케팅 과정을 통해 만들어진 연락처 목록이, 제3자 플랫폼의 보안 상태와 사고 대응 능력을 철저히 검토하지 않으면 공격에 이용될 수 있다는 것을 보여줍니다.

왜 이는 지금 투자자들에게 중요한가요?

Brevo의 SAML SSO 시스템에서 권한 설정 오류가 발생하여, 공격자들은 Trezor를 포함한 138개의 고객 계정을 접근할 수 있었습니다. 이로 인해 347,000명의 사용자를 대상으로 한 피싱 캠페인이 가능해졌으며, 그 결과 월렛 백업 정보가 도난당하는 사건이 발생했습니다. 합법적인 이메일 인프라에 접근할 수 있었기 때문에, 위조된 메시지들이 정상적인 이메일 인증 절차를 통과하면서 전파될 수 있었습니다. “Critical Security Alert: STM32 Entropy Vulnerability”라는 제목의 피싱 이메일에서는 받는 사람들에게 월렛 백업을 요청하는 악성 애플리케이션으로 연결되었습니다. 복구 문구를 제공하는 사람이라면 월렛을 재설정하여 자금을 조절할 수 있습니다.

트레조르의 Brevo 계정에는 약 347,000개의 뉴스레터 이메일 주소가 포함되어 있었습니다. 처음에 전송된 피싱 메시지는 모든 주소로 발송되었으며, 트레조르는 20분 이내에 해당 악성 도메인을 차단했습니다. 차단되기 전까지 약 2,500명이 그 링크를 클릭했습니다. 트레조르는 347,000개의 뉴스레터 주소들을 공격자에게 알려진 정보로 간주하며, 향후 피싱 공격에 사용될 수 있는 것으로 간주합니다. 회사는 자사의 하드웨어 월렛, 백업 데이터, 내부 시스템이 손상되지 않았으며, 백업 비밀번호를 입력하지 않은 고객들도 안전하다고 확인했습니다.

또한, 공격자들은 43개의 계정의 연락처 정보를 외부로 전송했으며, 이로 인해 Brevo의 메일 인프라 밖에서도 해당 정보가 사용될 가능성이 있습니다. 이 사건은 2026년에 발생한 트레조르에 대한 피싱 시도들에 따른 것입니다. 트레조르는 최근 물류 서비스 제공업체인 ShipMonk와 관련된 데이터 유출 사건도 겪었는데, 이로 인해 약 81,000명의 고객의 개인정보가 손실되었습니다. 솔라나 생태계와 암호화폐 인프라 제공업체들에게 이러한 상황은 디지털 자산 분야에서 제3자 위험 관리가 매우 중요하다는 것을 보여줍니다.