키스톤 하드웨어 지갑 고객정보 유출, 암호화폐 투자자가 확인해야 할 보안 위험과 대응 방법

키스톤 하드웨어 지갑 고객정보 유출

키스톤 온라인 쇼핑몰에서 발생한 고객정보 유출 사건

하드웨어 지갑 제조업체 키스톤(Keystone)이 자사 온라인 쇼핑몰에서 발생한 고객정보 유출 사실을 공개하면서 암호화폐 보안과 개인정보 관리 문제가 다시 주목받고 있다. 키스톤은 2026년 10월 24일 공식 소셜미디어를 통해 이번 사고에 대해 사과하고, 고객 정보에 대한 무단 접근이 확인됐다고 밝혔다.

이번 사건에서 핵심은 암호화폐 지갑에 보관된 자산이 직접적인 공격을 받았는지가 아니라, 지갑을 구매한 사람들의 신원과 배송 정보가 외부로 노출됐다는 점이다. 회사가 공개한 내용에 따르면 유출된 정보에는 고객 이름, 연락처, 배송 주소, 주문 내역 등이 포함됐다. 주문한 제품의 종류와 구매 가격도 노출 대상에 들어간 것으로 알려졌다.

반면 키스톤은 복구 문구와 개인 키, 기기 비밀번호, 신용카드 및 은행 관련 정보는 이번 사고의 영향을 받지 않았다고 설명했다. 따라서 현재 공개된 정보만으로는 지갑 내부에 저장된 암호화폐가 직접적으로 탈취됐다고 판단할 근거가 없다.

그러나 자산에 대한 직접적인 접근 권한이 유출되지 않았다는 사실만으로 모든 위험이 사라지는 것은 아니다. 특정 사용자가 암호화폐를 보유하고 있다는 사실과 거주지 정보가 함께 알려지면 이를 이용한 표적 피싱이나 사칭 연락이 발생할 수 있다. 이번 사건은 디지털 자산을 안전하게 보관하는 문제와 개인의 신상정보를 보호하는 문제가 서로 밀접하게 연결되어 있음을 보여준다.

무단 접근 확인부터 고객 통보까지의 진행 과정

키스톤의 설명에 따르면 회사는 2026년 10월 20일 웹사이트에서 발생한 비정상적인 접근을 확인했다. 이후 온라인 쇼핑몰 운영에 사용되는 쇼피파이(Shopify)의 API 활동을 검토했으며, 10월 23일 제3자가 고객 배송 정보를 확보한 사실을 확인했다고 밝혔다. 사건은 다음 날인 10월 24일 공식 채널을 통해 외부에 공개됐다.

회사는 문제가 발생한 접근 경로를 차단하고 관련 취약점을 해결했으며, 사고 원인에 대한 조사도 진행하고 있다고 설명했다. 영향을 받은 고객에게 이메일로 관련 사실을 알리는 절차 역시 시작했다고 밝혔다. 추가적인 조사 결과와 세부 사항은 추후 보고서를 통해 공개할 계획인 것으로 전해졌다.

다만 사건의 전체 규모를 파악하는 데 필요한 정보는 아직 충분하지 않다. 현재까지 공개된 설명에는 피해를 본 고객의 정확한 수와 정보가 유출된 주문의 기간, 공격자가 최초로 시스템에 접근한 방법 등이 구체적으로 담기지 않았다. 국가별 피해 현황도 명확하지 않아 한국을 포함한 해외 구매자가 어느 정도 영향을 받았는지 판단하기 어렵다.

따라서 키스톤 제품을 구매한 사람이라면 공식 공지와 개별 안내 메일을 확인할 필요가 있다. 다만 사고 관련 연락을 받았다는 이유만으로 메시지에 포함된 링크를 무조건 클릭하거나 개인정보를 추가로 제공해서는 안 된다. 실제 공지 여부와 별개로 공격자가 이번 사건을 악용해 가짜 안내문을 보낼 가능성도 고려해야 한다.

유출된 정보와 보호된 정보의 차이

키스톤이 발표한 유출 정보에는 고객 이름과 연락처, 배송지 주소, 주문 내역이 포함된다. 주문 내역에는 구매한 하드웨어 지갑의 모델과 가격 등 제품 관련 정보가 들어갈 수 있다. 이러한 정보는 단순한 쇼핑 기록처럼 보이지만, 암호화폐 보안 관점에서는 상당한 의미를 가진다.

예를 들어 특정 주소로 하드웨어 지갑이 배송됐다는 기록은 해당 장소에 거주하거나 머무는 사람이 암호화폐 보관 장치를 구매했다는 사실을 추정하게 할 수 있다. 구매 제품과 가격을 함께 파악하면 공격자가 표적을 분류하거나 메시지의 내용을 구체적으로 꾸미는 데 활용할 수도 있다.

반대로 회사는 복구 문구, 개인 키, 기기 비밀번호와 결제 정보는 유출되지 않았다고 밝혔다. 이 구분은 대응 방법을 결정하는 데 중요하다. 고객의 주소가 노출된 상황과 지갑의 개인 키가 노출된 상황은 보안상 위험의 성격이 다르기 때문이다.

다만 현재 알려진 보호 범위는 키스톤이 자체적으로 발표한 설명을 바탕으로 한다. 독립적인 외부 조사 결과가 공개되지 않은 상태라면 모든 시스템과 데이터가 완전히 안전하다고 단정하기보다는, 공식적으로 확인된 내용과 아직 밝혀지지 않은 부분을 구분해서 받아들이는 것이 합리적이다.

하드웨어 지갑의 개인 키는 어떻게 보호되는가

하드웨어 지갑은 암호화폐 거래에 필요한 개인 키를 일반적인 인터넷 연결 환경과 분리해 관리하도록 설계된 장치다. 개인 키는 암호화폐를 직접 보관하는 파일이라기보다 블록체인에서 자산을 이동할 수 있는 거래에 서명하는 데 필요한 핵심 정보다.

일반적인 하드웨어 지갑은 기기 내부에서 개인 키를 생성하거나 안전하게 보관하고, 거래에 서명할 때에도 키가 외부 컴퓨터로 노출되지 않도록 설계된다. 사용자가 컴퓨터나 스마트폰에서 송금 정보를 준비하면 장치가 거래 내용을 확인하고 서명한 뒤, 서명된 거래 데이터가 네트워크로 전달되는 방식이다.

이 과정에서 제조업체의 온라인 쇼핑몰과 지갑 내부의 보안 기능은 서로 다른 역할을 수행한다. 쇼핑몰은 제품 주문과 결제 확인, 배송지 관리 등을 담당한다. 반면 지갑은 사용자의 암호화폐 거래에 필요한 키와 서명을 관리한다.

따라서 쇼핑몰의 고객 데이터베이스가 침해됐다고 해서 공격자가 곧바로 지갑의 개인 키를 획득할 수 있는 것은 아니다. 두 시스템이 적절하게 분리돼 있고 개인 키가 실제로 노출되지 않았다면, 고객정보 유출만으로 지갑의 자산을 직접 이동시키기는 어렵다.

그렇다고 모든 하드웨어 지갑이 어떤 상황에서도 안전하다는 의미는 아니다. 사용자가 복구 문구를 피싱 사이트에 입력하거나 악성 프로그램에 속아 잘못된 거래에 서명하면 자산을 잃을 수 있다. 이번 사건에서 중요한 것은 기기를 초기화하는 행위 자체보다, 이후 발생할 수 있는 사칭 연락과 사회공학적 공격을 경계하는 일이다.

쇼피파이 API가 언급된 이유와 남아 있는 의문

키스톤은 쇼피파이의 API 활동을 조사해 고객정보가 외부로 유출된 사실을 파악했다고 설명했다. API는 서로 다른 소프트웨어나 서비스가 데이터를 주고받을 수 있도록 연결하는 인터페이스다. 온라인 쇼핑몰에서는 주문 관리, 배송 처리, 재고 확인, 고객 지원 등 여러 업무에 API가 활용된다.

이러한 인터페이스는 정상적인 운영에 필수적이지만, 접근 권한이 과도하게 부여되거나 인증 정보가 유출되면 보안 위험으로 이어질 수 있다. 외부 서비스와 연결된 앱이 침해되는 경우에도 해당 앱이 접근할 수 있는 주문 데이터가 노출될 가능성이 있다.

그러나 API가 조사 과정에서 언급됐다는 사실만으로 쇼피파이 전체 플랫폼이 해킹당했다고 결론 내릴 수는 없다. 키스톤의 쇼핑몰에서 사용하던 특정 접근 경로나 연결 서비스에 문제가 있었을 가능성 등 여러 시나리오를 구분해야 한다.

현재 공개된 설명만으로는 공격자가 어떤 방식으로 시스템에 접근했는지, 어떤 계정이나 권한이 악용됐는지 확정하기 어렵다. 이러한 의문은 향후 조사 결과를 통해 확인해야 할 부분이다.

이번 사건은 온라인 판매 시스템을 운영하는 기업이 고객정보를 보호하기 위해 자체 보안뿐 아니라 외부 앱과 서비스의 권한도 지속적으로 점검해야 한다는 점을 시사한다. 데이터 보안은 단일 시스템만 잘 관리한다고 완성되는 것이 아니라, 주문 처리부터 배송에 이르는 전체 과정에서 유지돼야 한다.

고객을 노리는 사칭과 피싱 공격에 주의해야 하는 이유

고객정보 유출 이후 가장 현실적으로 우려되는 위험 가운데 하나는 사칭 메시지다. 공격자는 실제 주문 정보와 배송지, 제품 모델을 알고 있다는 점을 이용해 자신을 제조사 직원이나 고객 지원 담당자로 소개할 수 있다.

키스톤은 이번 사건과 관련해 이메일, 전화, 문자 메시지, 우편 등을 통한 사기 시도가 발생할 수 있다고 경고했다. 공격자는 환불이나 무료 제품 교환을 제안하거나, 배송지 오류를 수정해야 한다는 이유로 고객에게 연락할 수 있다. 이러한 접근은 실제 구매 과정에서 발생할 법한 문제를 가장하기 때문에 사용자가 의심 없이 반응할 위험이 있다.

특히 하드웨어 지갑을 교체해 준다는 제안은 주의해야 한다. 공격자가 가짜 기기와 함께 복구 문구가 적힌 안내문을 보내거나, 새 기기를 설정한다는 명목으로 기존 복구 문구를 입력하도록 유도할 수 있기 때문이다. 복구 문구가 공격자에게 전달되면 지갑을 복원해 자산을 탈취할 수 있는 위험이 발생한다.

따라서 복구 문구는 제조사 직원을 포함한 누구에게도 알려주어서는 안 된다. 고객 지원 담당자가 문제 해결을 이유로 복구 문구 전체를 요구하거나, 웹사이트에 입력하라고 안내한다면 사기 가능성을 의심해야 한다. 제품 교체나 보상 안내를 받더라도 메시지에 적힌 연락처를 그대로 사용하기보다 공식 웹사이트에서 별도로 확인한 고객 지원 경로를 이용하는 편이 안전하다.

또한 예상하지 못한 첨부파일을 열거나 원격 제어 프로그램을 설치하라는 요구에도 응하지 않는 것이 좋다. 공격자는 개인정보를 이미 알고 있다는 사실을 이용해 메시지의 신뢰도를 높일 수 있다. 그러나 실제 주문 정보가 정확하게 기재돼 있다고 해서 발신자가 진짜라는 보장은 없다.

배송 주소 유출이 초래할 수 있는 현실적인 위험

이번 사건에서 특히 민감한 정보는 배송 주소다. 이메일 주소나 전화번호는 변경할 수 있지만, 거주지 정보는 변경하기 어렵고 일상생활과 직접 연결돼 있다. 여기에 암호화폐 관련 기기를 구매했다는 기록이 결합되면 공격자가 특정 개인을 표적으로 삼을 가능성이 커질 수 있다.

보안 분야에서는 디지털 자산을 직접 공격하는 대신 자산을 관리하는 사람에게 물리적인 압력을 행사하는 유형을 렌치 공격이라고 부르기도 한다. 공격자가 피해자의 암호화폐 보유 가능성을 파악한 뒤 협박이나 강압을 통해 거래를 유도하는 방식이다.

다만 키스톤의 이번 정보 유출이 실제 강도나 납치 등 물리적 범죄로 이어졌다는 사실은 현재 제시된 자료에서 확인되지 않는다. 따라서 가능성에 대한 경고와 실제로 발생한 피해를 구분해야 한다. 과도한 불안에 빠지기보다는 노출된 정보가 악용될 수 있는 상황을 이해하고 예방 조치를 마련하는 것이 중요하다.

사용자는 당분간 배송 관련 연락에 각별히 주의를 기울이고, 본인이 요청하지 않은 소포나 제품 교환 안내문을 신중하게 확인할 수 있다. 공동주택의 택배 보관함이나 안전한 수령 장소를 이용하는 것도 상황에 따라 고려할 수 있다. 다만 배송 방식을 바꾸는 것만으로 기존에 유출된 주소 정보가 사라지는 것은 아니므로, 사칭 연락에 대응하는 보안 습관도 함께 유지해야 한다.

주문 정보 보관 기간과 개인정보 처리방침의 문제

이번 사건에서 추가로 살펴볼 부분은 고객정보가 얼마나 오랫동안 보관됐는지에 관한 문제다. 제공된 기사 내용에 따르면 키스톤은 2026년 1월 5일 소셜미디어에서 주문 후 180일이 지나면 배송 정보를 영구 삭제한다고 안내한 것으로 전해졌다.

그러나 회사의 개인정보 처리방침에는 최근 180일 동안 주문 내역이 없는 고객의 주문 정보가 삭제된다는 취지의 설명이 포함돼 있었다고 한다. 두 문구는 비슷해 보이지만 실제 적용 결과는 달라질 수 있다.

개별 주문일을 기준으로 180일이 지나면 해당 주문 정보를 삭제하는 방식과, 고객의 마지막 주문 이후 일정 기간이 지나야 고객의 주문 기록 전체를 삭제하는 방식은 서로 다르다. 후자의 경우 고객이 새로 주문할 때마다 이전 주문 정보의 보관 기간도 길어질 수 있다.

이 차이가 이번 사고의 실제 유출 범위에 어떤 영향을 미쳤는지는 아직 명확하게 확인되지 않았다. 키스톤이 어떤 기간의 데이터를 보관하고 있었는지, 실제로 삭제 정책이 일관되게 적용됐는지 등을 확인하려면 추가적인 조사 결과가 필요하다.

기업은 개인정보를 수집하는 목적과 보관 기간, 삭제 기준을 명확하게 안내해야 한다. 특히 고객의 구매 기록이 보안 사고에 악용될 수 있는 산업에서는 데이터 보관을 최소화하고, 불필요한 기록을 적절한 시점에 삭제하는 정책이 중요하다.

유럽 고객이 살펴볼 개인정보 보호 권리

유럽연합에 거주하는 고객이라면 일반개인정보보호법(GDPR)에 따른 권리도 검토할 수 있다. GDPR 제15조는 개인이 기업에 자신과 관련된 개인정보의 처리 여부를 확인하고, 처리 중인 데이터와 관련 정보를 요청할 수 있도록 규정한다.

이번 사건의 영향을 받았는지 불확실한 고객은 회사의 공식 고객 지원 채널을 통해 자신에 관한 정보가 처리되고 있는지, 어떤 주문 기록이 보관되고 있는지 문의할 수 있다. 필요한 경우 개인정보의 출처와 이용 목적, 보관 기간 등에 관한 설명도 요청할 수 있다.

다만 정보 열람권이 존재한다고 해서 모든 정보가 즉시 공개되거나 모든 기록이 무조건 삭제되는 것은 아니다. 실제 권리 행사에는 관련 법률의 요건과 예외가 적용될 수 있으며, 기업의 응답 기한과 절차도 법률에 따라 판단해야 한다.

GDPR 제82조는 법 위반으로 물질적 또는 비물질적 손해를 입은 경우 손해배상을 청구할 수 있는 근거를 제공한다. 그러나 정보 유출 사실만으로 모든 피해자에게 자동으로 일정 금액의 보상금이 지급되는 것은 아니다. 구체적인 위반 사실과 손해, 법적 요건 등을 개별적으로 검토해야 한다.

또한 유럽연합 외부에 있는 기업이 유럽 고객에게 상품을 판매하는 경우에는 GDPR의 적용 여부와 역내 대리인 지정 의무 등을 구체적인 상황에 따라 살펴볼 필요가 있다. 개인정보 처리방침에 관련 연락처가 명확히 표시돼 있는지 확인하고, 필요하다면 해당 국가의 개인정보 보호 감독기관에 문의하는 방법도 고려할 수 있다.

트레저와 세이프팔, 레저 사례가 보여주는 공통적인 위험

하드웨어 지갑 업계에서는 기기 자체의 보안과 별개로 주문 및 배송 정보가 노출되는 문제가 반복적으로 제기돼 왔다. 제공된 기사에서는 트레저(Trezor), 세이프팔(SafePal), 레저(Ledger)와 관련된 과거 사례도 함께 언급하고 있다.

이들 사례에서 공통으로 드러나는 문제는 지갑의 개인 키를 직접 탈취하지 않더라도 구매자의 개인정보가 공격에 이용될 수 있다는 점이다. 고객 데이터베이스나 물류 서비스, 배송 추적 기능과 같은 주변 시스템이 침해되면 제품을 구매한 사람의 신원과 주소가 노출될 수 있다.

기사에 제시된 트레저 사례에서는 과거 주문 정보와 관련된 추가적인 유출 범위가 공개됐다고 설명한다. 세이프팔의 경우에는 배송 추적 관련 기능이 정보 유출과 연결됐다는 내용이 언급됐으며, 레저는 2020년 고객정보 유출 사건으로 널리 알려져 있다. 다만 이러한 사례의 정확한 피해 규모와 원인은 각 기업의 공식 자료를 통해 별도로 확인해야 한다.

이러한 사건을 통해 얻을 수 있는 교훈은 하드웨어 지갑의 보안성을 평가할 때 기기의 암호화 기능만 살펴봐서는 충분하지 않다는 것이다. 제조업체가 고객 데이터를 어떻게 수집하고 저장하는지, 외부 물류 서비스와 어떤 정보를 공유하는지, 정보 삭제 정책을 어떻게 운영하는지도 중요하다.

기업이 개인정보 삭제 정책을 발표하더라도 실제 시스템과 외부 서비스에서 해당 정책이 일관되게 지켜지는지 확인할 필요가 있다. 오래된 데이터가 여러 서비스에 복사돼 남아 있다면 보관 기간에 대한 약속만으로는 위험을 충분히 줄이기 어렵다.

키스톤 구매자가 지금 실천할 수 있는 보안 대응

이번 사건에 관한 공지를 접한 사용자는 먼저 공식 발표와 개별 통지 내용을 확인하고, 자신이 영향을 받았는지 파악하는 것이 좋다. 그다음에는 지갑의 복구 문구와 개인 키를 안전하게 보관하고 있는지 점검해야 한다. 복구 문구가 유출됐다는 증거가 없다면 고객정보 유출만을 이유로 지갑을 초기화하거나 자산을 급하게 다른 주소로 옮길 필요는 없다.

특히 출처가 불분명한 보안 안내문에 따라 새로운 지갑을 생성하거나 자산을 이동하지 않아야 한다. 공격자는 긴급한 조치가 필요하다고 주장하면서 사용자의 판단 시간을 줄이려 할 수 있다. 사용자가 직접 확인하지 않은 주소로 송금하거나 낯선 기기에서 복구 문구를 입력하는 행동은 오히려 더 큰 손실로 이어질 수 있다.

이메일과 문자 메시지의 발신 정보를 확인하고, 의심스러운 링크 대신 공식 웹사이트에 직접 접속하는 습관도 필요하다. 고객 지원을 사칭하는 사람이 원격 접속을 요구하거나 비밀번호, 인증 코드, 복구 문구를 요청하면 응하지 않는 것이 안전하다.

계정 보안도 함께 점검할 수 있다. 쇼핑몰 계정에 사용하는 비밀번호를 다른 서비스와 재사용했다면 변경을 고려하고, 지원되는 경우 다중 인증 기능을 활성화하는 것이 좋다. 다만 쇼핑몰 계정의 비밀번호 변경만으로 이미 외부에 공개된 배송 주소와 주문 기록이 삭제되는 것은 아니라는 점도 이해해야 한다.

암호화폐 보안은 자산 보호와 개인정보 관리가 함께 이루어져야 한다

키스톤 사건은 하드웨어 지갑의 기술적 보안과 구매자의 개인정보 보호가 서로 다른 영역이면서도 밀접하게 연결돼 있음을 보여준다. 개인 키가 유출되지 않았더라도 구매자 이름과 주소, 제품 정보가 결합되면 표적형 사기나 개인정보 악용의 가능성이 생길 수 있다.

사용자는 자산을 안전하게 보관하는 것과 더불어 자신의 구매 기록이 어디에 저장되는지, 제조업체가 어떤 정보를 수집하는지에도 관심을 가질 필요가 있다. 기업 역시 보안 사고가 발생한 뒤 취약점을 수정하는 데 그치지 않고, 정보 보관 기간과 외부 서비스의 접근 권한, 사고 통지 절차 등을 지속적으로 개선해야 한다.

현재까지 공개된 키스톤의 설명에 따르면 이번 사건은 고객정보 유출 사고이며, 지갑 내부의 개인 키와 복구 문구가 직접 노출됐다는 내용은 확인되지 않았다. 따라서 확인되지 않은 위험을 사실로 단정하거나 성급하게 자산을 이동하기보다는 공식적인 조사 결과를 기다리면서 기본적인 보안 수칙을 지키는 것이 합리적이다.

앞으로는 하드웨어 지갑을 선택할 때 기기의 기능과 가격뿐 아니라 제조업체의 개인정보 보호 정책, 고객정보 관리 방식, 배송 과정의 보안 수준도 함께 살펴보는 것이 좋다. 암호화폐 보안은 안전한 기기를 구매하는 순간 끝나는 것이 아니다. 개인 키를 보호하고, 신상정보의 노출을 최소화하며, 사칭과 피싱에 대응하는 습관까지 갖춰야 보다 안정적인 자산 관리가 가능하다.

FAQ

키스톤 고객정보 유출로 하드웨어 지갑에 보관한 암호화폐도 사라질 수 있나요?

키스톤이 공개한 설명에 따르면 복구 문구와 개인 키는 이번 사건의 영향을 받지 않았다. 따라서 고객정보 유출만으로 지갑에 보관된 자산이 직접 탈취됐다고 볼 근거는 없다. 다만 이후 피싱 공격에 속아 복구 문구를 제공하거나 악의적인 거래에 서명하면 자산을 잃을 수 있으므로 주의해야 한다.

키스톤에서 구매한 사람은 지갑을 초기화하거나 코인을 다른 주소로 옮겨야 하나요?

개인 키나 복구 문구가 노출됐다는 증거가 없다면 정보 유출만을 이유로 지갑을 초기화하거나 암호화폐를 급하게 옮길 필요는 없다. 오히려 사기 메시지에 따라 검증되지 않은 주소로 자산을 이동하면 손실이 발생할 수 있다. 공식 공지를 확인하고 평소의 보안 수칙을 유지하는 것이 우선이다.

제조업체가 복구 문구를 요구하면 어떻게 해야 하나요?

복구 문구는 지갑의 자산에 접근할 수 있는 핵심 정보이므로 제조업체 직원이나 고객 지원 담당자에게도 알려주면 안 된다. 복구 문구를 입력하도록 유도하는 이메일, 문자, 웹사이트 또는 동봉 안내문은 사기 가능성을 의심해야 한다. 문의가 필요하다면 공식 웹사이트에서 직접 확인한 고객 지원 경로를 이용해야 한다.

배송 주소가 유출되면 어떤 위험이 발생할 수 있나요?

공격자가 구매자의 이름과 주소, 하드웨어 지갑 구매 이력을 함께 확보하면 실제 주문을 가장한 피싱 메시지나 가짜 교환 안내를 보낼 수 있다. 암호화폐 보유 가능성을 이용한 표적형 사기나 물리적 위협도 잠재적인 위험으로 거론된다. 다만 이번 사건이 실제 물리적 범죄로 이어졌다는 사실은 현재 제공된 내용에서 확인되지 않았다.

개인정보 유출 피해자는 보상이나 정보 공개를 요청할 수 있나요?

개인정보 보호법의 적용을 받는 경우 정보 열람이나 처리 내역 확인을 요청할 수 있으며, 법률상 요건을 충족하면 손해배상을 검토할 수도 있다. 유럽연합의 GDPR 제15조는 개인정보 열람권을, 제82조는 일정한 요건에 따른 손해배상 청구의 근거를 규정한다. 실제 권리와 보상 가능성은 거주 국가, 적용 법률, 사고의 구체적인 사실관계에 따라 달라진다.