미국 메인주 법무장관실에 제출된 데이터 유출 통지 보고서에 따르면, 최근 이볼브 뱅크 & 트러스트(Evolve Bank & Trust, 이하 이볼브)에서 발생한 데이터 유출 사고로 인한 피해자 수가 764만 명을 넘어선 것으로 나타났다. 
 

문서에 따르면, 유출은 2월 9일 발생했지만 5월 29일까지 발견되지 않았다. 테네시주 멤피스에 본사를 둔 이볼브는 지난 8일 고객에게 보낸 서한에서 “일부 시스템이 제대로 작동하지 않는 것을 확인했다. 처음에는 하드웨어 오류로 보였지만 이후 무단 활동이라는 사실을 알게 됐다”라고 말했다. 

이어 이볼브는 “사이버 공격자가 고객 자금에 액세스했다는 증거는 없지만, 2024년 2월과 5월 동안 당사 데이터베이스와 파일 공유 시스템에서 고객 정보에 액세스하고 다운로드한 것으로 보인다. 비즈니스, 신탁 및 모기지 고객에 관한 정보를 포함해 어떤 개인 정보가 영향을 받았는지 계속 조사 중이다”라고 덧붙였다. 

이볼브 웹사이트에 게재한 게시물에 따르면, 해당 공격은 랜섬웨어 록빗(LockBit)에 의해 수행됐다. RaaS(Ransomware-as-a-Service)인 록빗은 2019년 출시됐으며, 지난 5월에는 제작자이자 관리자로 의심되는 사람이 미국에서 20건 이상의 범죄 혐의로 기소됐다. 해당 게시물에는 “직원이 실수로 악성 인터넷 링크를 클릭했을 때 회사 시스템에 액세스한 것으로 보인다. 공격자는 일부 사내 데이터를 암호화했다. 하지만 백업이 있어 데이터 손실과 시스템에 미치는 영향은 적다”라고 썼다. 

이볼브는 공격자가 요구한 몸값 지불을 거부했으며 “그 결과 다운로드한 데이터가 유출됐다. 또한 공격자는 데이터의 출처를 연방준비은행으로 잘못 기재했다”라고 말했다. 사건을 인지한 이볼브는 “기존 제어를 강화하고 환경을 더욱 안전하게 보호하기 위해” 전 세계적으로 비밀번호 재설정, AD(Active Directory)를 포함한 중요한 ID 액세스 관리 구성 요소 재구성, 방화벽 및 동적 보안 어플라이언스 강화, 엔드포인트 탐지 및 대응 및 기타 보안 도구 배포 등의 방법으로 네트워크를 강화했다고 설명했다. 

이어 “보안 대응 프로토콜, 정책 및 절차, 의심되는 사고를 감지하고 대응하는 능력을 더욱 강화하고 있다”라고 덧붙였다. 

이볼브에 따르면, 대부분 개인뱅킹 고객과 오픈뱅킹 파트너의 고객이 이름, 주민등록번호, 은행 계좌 번호, 연락처 정보에 영향을 받은 것으로 보인다. 직원 관련한 개인 정보도 영향을 받았을 가능성이 높다. 이에 따라 이볼브는 고객에게 향후 2년 동안 신원 도용 방지 서비스를 무료로 제공하기로 했다. 또한 이번 사건에 대한 질문에 답변할 수 있는 전담 콜센터도 설치했다.
editor@itworld.co.kr
 

• 페이스북 공유
• 트위터 공유