Trezor ShipMonk 데이터 유출 사고, 미국 고객 6만 7천 명 추가로 피해 확대

2026년 9월 6일 읽는 시간 약 4분

새롭게 확인된 고객들은 2019년 11월부터 2021년 8월 사이에 트레저(Trezor) 기기를 주문했습니다. 유출된 기록에는 이름, 이메일 주소, 전화번호, 배송 주소 및 주문 번호가 포함되어 있으며, 이는 당초 최근 구매 건에 국한된 것으로 여겨졌던 사건의 범위를 상당히 확대시켰습니다.

ShipMonk에서 보존된 데이터 Trezor에서 예상되는 삭제

이번 발견은 트레저의 고객 데이터 보존 정책과 정면으로 배치됩니다. 쉽몽크는 계약 요건, 트레저의 데이터 정책 및 양사 간의 이전 협의에 따라 오래된 배송 정보가 삭제되었다는 서면 확약을 여러 차례 제공한 바 있습니다.

하드웨어 지갑 제조업체는 물류 업체 ShipMonk가 보유한 고객 정보가 무단 접근으로 유출된 사실을 인지한 후 8월 13일에 처음으로 해당 정보를 공개했습니다. 초기 조사 결과, 이름, 이메일 주소, 전화번호 및 배송 주소가 노출된 고객은 11,742명이었으며, 일부 정보가 노출된 고객은 1,947명이었습니다.

당시에는 90일 이내 삭제 의무 조항으로 인해 정보 유출이 최근 주문 건에만 국한될 것으로 예상되었습니다. 그러나 새로 발견된 2019-2021년 기록에 따르면, 이러한 의무 조항에도 불구하고 훨씬 오래된 고객 정보가 ShipMonk 시스템에 남아 있었던 것으로 드러났습니다.

Trezor 시스템, 펌웨어, 개인 키 및 지갑 백업은 손상되지 않았습니다. 이번 보안 침해는 하드웨어 지갑 자체가 아닌 ShipMonk의 배송 인프라 내부에서 발생했습니다.

배송 정보는 표적 피싱 공격의 위험을 초래합니다.

이름, 전화번호, 실제 배송 주소는 공격자에게 하드웨어 지갑 소유자를 specifically 표적으로 삼는 고도로 개인화된 피싱 공격을 구성하는 데 충분한 정보를 제공할 수 있습니다.

피해자는 Trezor, 거래소, 은행 또는 배송 회사를 사칭하는 사기성 이메일, 전화 또는 우편물을 받을 수 있습니다. Trezor는 고객들에게 기기, 계정 또는 복구 문구에 대한 긴급 확인이 필요하다는 내용의 연락을 받더라도 지갑 백업 정보를 절대 공개하거나 입력하지 말 것을 당부하고 있습니다.

이 회사는 이전에도 제3자 노출 위험에 대응한 경험이 있습니다. 2025년 12월에 발생한 Trezor.io 관련 사건에서는 외부 서비스와 연관된 의심스러운 활동이 포착되었지만, 당시에는 데이터베이스, 기기 또는 지갑 소프트웨어가 손상되지는 않았습니다.

익명 배송 계획의 중요성 증대

Trezor는 하드웨어 지갑 구매 시 개인 식별 정보 노출을 최소화하기 위해 익명 배송 옵션을 개발 중입니다. 계획된 기능에는 보관함 수령, 무색 포장, 일반 발송인 정보 표시, 배송 후 배송 식별 정보 자동 삭제 등이 포함됩니다.

해당 서비스는 2026년 9월경 유럽에서 출시될 예정이었고, 미국에서는 연말 이전에 출시될 예정이었습니다. 새로 발견된 과거 기록으로 인해 ShipMonk 데이터 유출로 인한 피해 고객 수는 기존 13,689명을 훨씬 넘어섰으며, 2019년 11월부터 2021년 8월까지 약 67,000명의 미국 구매자에게 추가로 통지되었습니다.