Revolut 데이터 유출, 은행 측에서 고객 680명의 신규 신분증 발급 비용 부담

레볼루트는 데이터 유출로 피해를 입은 고객들이 새로운 신분증을 발급받아야 할 경우 발생하는 수수료를 부담할 것이라고 베아트리스 코사-뒤무르지에 레볼루트 서유럽 지사장이 2026년 10월 7일 프랑스 방송 BFM TV와의 인터뷰에서 밝혔습니다. 로이터 통신도 같은 날 이 소식을 보도했습니다. 이번 데이터 유출로 680개 고객 계정이 영향을 받았습니다. 코사-뒤무르지에 지사장은 총 비용 규모에 대한 추산은 밝히지 않았으며, 이미 신분증을 재발급받은 고객이 있는지 여부에 대해서도 언급하지 않았습니다.

암호화폐를 보유하고 있으며 이번 사태의 영향을 받은 사람들은 신분증 발급 수수료와는 전혀 상관없는 또 다른 문제에 직면해 있습니다. 보도에 따르면, 은행에서 유출된 자료는 신분증 사본, 주소 정보, 계좌 명세서였는데, 이는 서비스 제공업체 앞에서 신원을 재구성하는 데 필요한 바로 그 자료들입니다. 이 글에서는 이번 사태의 배경을 살펴보고, 관련 수치를 제시하며, 유럽에서 가능한 해결책들을 소개합니다.

Revolut, 신분증 발급 수수료 부담: 10월 7일 현재 상황

해당 약속은 간략하며 구체적인 절차가 명시되어 있지 않습니다. 로이터 통신에 따르면, 코사-뒤무르지에 CEO는 해당 고객이 신분증을 재발급받아야 할 경우 관련 비용을 레볼루트가 부담할 것이라고 밝혔습니다. 하지만 신청 절차, 마감일, 보상 한도액 등은 언급되지 않았습니다. 따라서 이 혜택을 이용하려면 은행 고객 지원팀에 문의하여 서면으로 확인을 받아야 합니다. TV 인터뷰에서 한 약속은 공식적인 보상 정책이 아니기 때문입니다.같은 인터뷰에서 서유럽 책임자는 두 가지 입장을 분명히 했습니다. 은행 자체 시스템은 해킹당하지 않았으며, 레볼루트는 몸값을 지불하지 않을 것이라는 점입니다. 그녀는 데이터가 은행에서 유출된 경로를 언급하며 공공 기관이 때때로 연결 고리의 약점이 될 수 있다고 말했습니다.

해당 기관의 보고서에 따르면, 이번 약속에는 피해를 입은 680명의 고객 중 독일 거주 고객이 몇 명인지에 대한 구체적인 수치는 포함되어 있지 않습니다.

비용 보장 범위에 포함되지 않는 사항

새 신분증 발급 수수료는 이 경우 가장 작은 부분에 불과합니다. 신분증을 교체한다고 해서 생년월일, 주소, 직업, 계좌 거래 내역 등이 제3자에게 넘어간다는 사실이 바뀌는 것은 아닙니다. 새로운 카드 칩이 장착된다고 해서 이러한 정보가 바뀌는 것도 아닙니다. 따라서 발급 수수료만 환급받는 사람은 금전적으로 보상받을 수 있는 손해의 일부만 보상한 셈입니다.

680개 계정 피해 및 5개월간의 접근 권한: 데이터 유출 사건의 전개 과정

이번 사건은 몸값 요구 시점보다 훨씬 오래전에 발생했습니다. SecurityWeek 의 분석에 따르면 , 계정 해킹은 5개월에 걸쳐 이루어졌으며, 680개의 계정이 피해를 입었고, 요구 금액은 약 300만 달러에 달했습니다. 로이터 통신에 따르면, 피해를 입은 680명의 고객 중 55명이 프랑스에 거주하고 있으며, 레볼루트는 이들 모두에게 지원을 제공했다고 합니다.이 사건은 공격 그룹이 시한을 정하고 데이터를 판매하겠다고 위협한 2026년 9월에 공개되었습니다. 당시 우리는 이 상황을 보도하면서 피해자들이 자신의 상황을 어떻게 확인할 수 있는지에 대한 질문도 다뤘습니다. (

Revolut 데이터 유출: 내가 피해자인가? 내 비트코인 ​​거래 내역은 어떻게 되는가?) 신분증 비용 공개 약속은 은행이 정보 제공을 넘어 실제로 비용을 지불하는 첫 번째 조치입니다.

680이라는 수치는 하한선일 뿐 최종 집계가 아닙니다.

SecurityWeek은 680개의 계정을 주요 계정으로 분류했습니다. 검토가 완료된 후에도 이 수치가 유지될지는 미지수입니다. 접근 권한이 5개월 이상 지속되었기 때문에, 어떤 정보 유출이 사후에 무단 접근으로 확인되는지에 따라 최종 수치가 달라질 수 있습니다. 따라서 실제 수치는 더 높을 가능성도 있지만, 검토된 자료에서는 이를 확인할 수 없었습니다.

정부 웹사이트 주소를 탈취해 침입 경로로 삼은 공격: 공격자들이 데이터에 접근한 방법

레볼루트는 자체 발표를 통해 공공기관 도메인을 사용하는 이메일 주소에서 정보 요청이 들어온 후 고객 데이터를 권한 없는 자에게 넘겼다고 밝혔습니다. 보도에 따르면 공격자들은 이를 위해 이탈리아 당국의 이메일 시스템을 장악했습니다. 엄밀히 말하면 이는 은행 시스템 침입이 아닙니다. 악용된 것은 은행들이 법 집행 기관에 매일 제공해야 하는 절차입니다.

이탈리아 내무부 장관은 레볼루트의 이러한 행태를 비판하며, 은행이 해당 요청이 실제로 이탈리아 정부로부터 온 것인지 더 신중하게 확인했어야 했다고 지적했습니다. 하지만 이는 장관의 판단이지 저희의 판단이 아닙니다. 의무 위반 여부는 감독 당국과 법원이 결정할 문제이지, 저희 편집팀이 판단할 문제가 아닙니다.

이 루트를 방어하기가 왜 그렇게 어려운가

법 집행 기관의 정보 요청은 본질적으로 외부에서 오며, 긴급성을 수반하고, 고객이 알아차려서는 안 됩니다. 바로 이 세 가지 특징 때문에 은행은 일반적인 확인 절차를 생략할 수 있습니다. 고객에게 직접 문의하는 것은 불가능하며, 당국의 사서함이 다른 사람의 통제하에 있는 한 발신자 도메인은 진짜처럼 보입니다. 독립적으로 확보한 공식 번호로 전화를 거는 것과 같은 두 번째 확인 채널이 바로 이 공격이 실패하는 지점입니다.

여권부터 본인 확인용 셀카까지, 어떤 데이터 항목이 수집되었을까요?

보고서에는 이름과 계좌번호를 훨씬 뛰어넘는 데이터 세트가 설명되어 있습니다. 여기에는 성명, 생년월일, 직업, 주소 및 연락처 정보는 물론 여권 및 운전면허증, 계좌 명세서, 얼굴 인증 이미지 및 거래 내역이 포함됩니다. 이 모든 것을 종합하면 금융 프로필이 첨부된 완전한 신원 파일이 됩니다.

카드 번호는 며칠 내에 차단하고 교체할 수 있습니다. 하지만 생년월일은 그럴 수 없고, 주소는 이사를 해야만 바꿀 수 있으며, 얼굴 사진은 아예 바꿀 수 없습니다. 바로 이 점에서 이번 사건은 일반적인 카드 사기와 확연히 다릅니다. 유출된 정보는 수년 동안 그대로 남아 있기 때문입니다.

KYC 데이터 세트가 카드 번호보다 더 중요한 이유는 무엇일까요?

은행이나 암호화폐 거래소 계좌는 신원 확인을 통해 개설되며, 이러한 신원 확인 절차는 많은 서비스에서 사용자가 접근 권한을 잃었을 때 비상 탈출구 역할을 합니다. 이 메커니즘은 세 단계로 이루어지며, 이 글의 나머지 부분에서 자세히 설명될 것입니다.

신뢰성이 최우선입니다. 생년월일, 주소, 직업, 최근 계좌 거래 내역까지 알고 있는 발신자는 사기꾼처럼 들리지 않고 자신이 주장하는 담당 직원처럼 들립니다. 계좌 명세서는 은행 외부에서는 누구도 알 수 없는 세부 정보를 제공합니다.

접근 권한은 그대로 유지됩니다. 서비스에서 계정 복구를 신분증 사본과 셀카 사진에 연결하는 경우, 이 두 가지 필수 정보는 이제 제3자의 손에 들어가게 됩니다. 또한 거래 내역을 통해 자금의 흐름과 규모를 파악할 수 있으므로, 어떤 계정을 복구하는 것이 중요한지 알 수 있습니다.

결국 남는 것은 네트워크 외부로의 접근 위험입니다. 문서화된 주소와 자산 수준은 업계에서 ‘렌치 공격’이라고 부르는, 기술적 우회가 아닌 물리적 강압을 가하는 공격의 전제 조건입니다. 공격자 그룹은 블록체인 분석을 통해 암호화폐 보유량이 많은 고객을 선별했다고 주장하지만, 이러한 선별 과정은 문서화되어 있지 않고 공격자들 스스로가 결정한 것이며, 이는 암호화폐 업계에서 주소 거래와는 다르게 평가되는 이유를 설명해 줍니다.

몸값으로 6,000 모네로: 오늘 시세 기준 상당액

파이낸셜 타임스 보도에 따르면, “iamnotavillan”이라는 이름을 사용하는 한 그룹이 6,000

모네로(XMR)를 요구하며 24시간 안에 지불을 요구했습니다. 당시 요구 금액은 약 300만 달러에 해당했습니다. 2026년 10월 10일 기준 모네로는 527.46달러였으며, 이 가격으로 계산하면 6,000 XMR은 약 316만 달러입니다. 따라서 공격자들은 아무런 변화 없이 요구 금액을 달러 기준으로 약간 높였습니다.

통화 선택 자체가 위협의 일부입니다. 모네로는 프로토콜 자체 내에서 금액과 참여자를 숨기기 때문에 비트코인처럼 조사를 가능하게 하는 결제 내역을 추적할 수 없습니다. 로이터 보도에 따르면, 레볼루트는 몸값을 지불하지 않겠다고 밝혔으며, 동시에 이번 사건의 배후를 주장하는 단체와 직접적인 접촉도 없었고, 그들로부터 어떠한 요구도 받지 않았다고 주장했습니다. 이 두 가지 주장은 서로 모순되며, 소식통들은 이 모순에 대해 명확한 해명을 내놓지 않고 있습니다.

데이터가 도난당했을 뿐, 잔액은 도난당하지 않았습니다.

보도 내용과 레볼루트 측의 설명에 따르면, 은행 계좌에서 자금이 인출된 것은 없습니다. 피해는 계좌 잔액 자체가 아니라 개인 정보와 계좌 정보 유출에 있습니다. 이러한 차이점이 사건의 본질을 파악하는 데 중요합니다. 금전적 손실은 데이터가 유출된 후 2차 공격이 발생했을 때 비로소 발생할 수 있기 때문입니다.

독일 신분증 발급 비용 46유로: 그 비용으로 실제로 얻을 수 있는 것은 무엇일까요?

2026년 2월 7일부터 독일 신분증 발급 비용이 24세 이상 신청자의 경우 37유로에서 46유로로 인상되었습니다. 연방의회는 2026년 1월 30일에 이 인상안을 승인했으며, 각 지자체는 이를 공표했습니다. 24세 미만 신청자의 경우 6년간 유효한 신분증 발급 비용은 27.60유로입니다. 임시 신분증은 10유로이며, 자택 배송 시에는 15유로가 추가됩니다.

검토한 자료들에서는 2026년 여권 발급 수수료를 확인할 수 없습니다. 해당 자료들에는 기존 신분증 발급 수수료인 37유로가 반영되어 있어 인상 전 금액이기 때문입니다. 여권을 재발급받으려는 분은 안내서에 나온 금액에 의존하지 마시고, 관할 지역 등록 사무소에 직접 수수료를 문의하시기 바랍니다. 레볼루트(Revolut)에서 환불받으시려면, 예상 금액이 아닌 사무소에서 발급한 수수료 고지서를 제출하셔야 합니다.

문서를 교체하는 것은 문제의 절반만 해결하는 것입니다.

새로운 신분증에는 새로운 문서 번호가 부여되고, 기존 번호는 효력을 잃습니다. 이는 유효한 번호가 필요한 부정 사용 사례, 예를 들어 신분증 확인을 거치는 신규 등록 등의 문제를 해결합니다. 반면, 본인 확인을 위해 제공된 얼굴 이미지는 계속 사용 가능하며, 주소 정보 또한 정확한 한 유효합니다.

KYC 정보 유출 후 신분 도용: 공격 경로 상세 분석

이 데이터 세트를 기반으로 여러 가지 공격 방식을 구축할 수 있으며, 공격자가 추가적으로 필요로 하는 정보는 각기 다릅니다.

내부 정보를 포함한 통화

전화를 건 사람은 은행, 거래소 또는 공공기관 직원을 사칭하며 계좌 명세서의 정보를 이용해 그 직함을 증명합니다. 목적은 승인, 코드 또는 안전하다고 주장하는 계좌로의 송금을 요구하는 것입니다. 어떤 은행이나 암호화폐 거래소도 전화로 복구 ​​코드나 지갑 백업 정보를 요구하지 않습니다. 이러한 전화는 절대 허용되지 않으며, 그 이상은 허용되지 않습니다.

다른 사람의 접근 권한 복구하기

많은 서비스에서 신분증 사진과 셀카 사진은 분실된 계정 접근 권한을 복구하는 데 필요한 증거 자료입니다. 만약 신분증 사진과 셀카 사진 모두 제3자가 보관하고 있다면, 계정 보안은 해당 서비스 제공업체가 데이터 세트에 포함되지 않은 추가적인 요소, 즉 하드웨어 키나 특정 기기에 설치된 앱을 요구하는 데 달려 있습니다. SMS 인증은 신원 정보만 있으면 다른 사람의 기기로 전화번호를 이전할 수 있기 때문에 신뢰할 수 없습니다.

집 주소를 경유하는 경로

암호화폐 보유 내역 옆에 주소를 등록하면 기술적 위험에서 가정으로 위험이 이전됩니다. 이는 한 번의 인계로 모든 자산을 잃지 않도록 보유 자산을 분산 보관하는 데 도움이 되며, 예를 들어 일상적인 사용을 위한 소액 잔액과 자체 보관을 통해 더 큰 금액을 관리할 수 있습니다.

GDPR 제82조에 따른 보상: 독일 내 피해자를 위한 법적 틀

일반 데이터 보호 규정(GDPR) 제82조는 규정을 위반하는 데이터 처리로 인해 발생한 물질적 및 비물질적 손해에 대한 보상을 받을 권리를 모든 사람에게 부여합니다. 제34조는 데이터 관리자가 위험도가 높은 데이터 유출 발생 시 해당 피해자에게 이를 통지할 의무를 규정하고 있으며, 제15조는 개인에 대해 어떤 데이터가 저장되어 있고 누구에게 공개되었는지에 대한 정보를 알 권리를 보장합니다.

그 어떤 것도 레볼루트 사건에서 침해가 발생했다는 것을 입증하는 것은 아닙니다. 침해 여부 판단은 관할 감독 당국과 분쟁 발생 시 법원의 몫이며, 정보 공개 요청에 대한 검토가 요구되는 기준을 충족했는지 여부에 달려 있습니다. 정보 주체로서 귀하는 그러한 판단과 관계없이 제15조에 따른 권리를 행사할 수 있으며, 제15조에 따른 정보 공개 청구는 귀하의 정보 노출 위험을 추정하는 대신 기록으로 남기는 방법입니다.

관할권 및 감독

Revolut은 리투아니아 은행 면허를 바탕으로 EU 내에서 은행 사업을 운영하며, 유럽 패스포트(European Passport)를 통해 다른 회원국에서도 서비스를 제공합니다. 피해를 입은 고객은 거주 국가의 데이터 보호 당국에 불만을 제기할 수 있으며, 독일의 경우 관할 주 정부 기관에 불만을 제기해야 합니다. 관련 기관들은 절차 진행 과정에서 서로 협력합니다. 자국의 당국을 통해 문제를 해결하는 것이 더 간편하고, 모국어로 진행되며 국경을 넘나드는 절차가 없기 때문에 더 효율적입니다.

하드웨어 지갑을 이용한 개인 자산 보관: 공격 표면을 줄이는 방법

제공업체 계정은 신원 확인에 따라 발급되는데, 바로 이 신원 확인 절차가 취약점입니다. 자체 보관 방식은 이와는 정반대입니다. 기기 소유 여부와 백업 시스템에 대한 지식이 접근 권한을 결정하며, 타인이 소지한 신분증 이미지는 아무런 도움이 되지 않습니다. 어떤 기기들이 적합한지, 그리고 각 기기의 차이점은

암호화폐 하드웨어 지갑 비교 에서 자세히 확인할 수 있습니다 .

이러한 조치에는 이번 사례에 딱 들어맞는 이면이 있습니다. 열쇠를 직접 소지한 사람은 분실 위험만 감수하면 되고, 결국 중요한 것은 백업 암호뿐입니다. 이 암호는 사진이나 클라우드 저장소에 저장해서는 안 됩니다. 이번 유출 사건처럼 정보가 디지털 형태로 존재하게 되면 얼마나 멀리까지 퍼져나가는지 보여주는 사례가 있기 때문입니다.

자산 이전 시 적용되는 세금은 무엇인가요?

본인 소유 지갑 간의 이체는 자산 처분으로 간주되지 않으므로 독일에서는 세금이 부과되지 않습니다. 중요한 것은 증빙 자료입니다. 취득일자를 추적할 수 있어야 하는데, 이는 1년 보유 기간을 충족하기 위한 기준이 되기 때문입니다. 기록 없이 자산을 이체하는 경우, 보유 기간 자체는 잃지 않지만 취득 증빙 자료를 잃게 됩니다.

9월 기사 이후 무엇이 달라졌나요?

9월 당시 가장 중요한 질문은 당신이 직접 영향을 받았는지 여부와 공개된 데이터 세트가 무엇을 의미하는지였습니다. 그 이후로 두 가지 변화가 있었습니다. 첫째, 10월 7일 현재 은행 측에서 비용을 지불하고 단순한 조언을 넘어선 조치를 약속했습니다. 둘째, SecurityWeek의 분석에 따르면 해당 사건은 5개월이라는 기간 동안 지속되었으며, 이는 단순한 실수로 인한 정보 유출이 아니라 장기간에 걸친 접근 시도였음을 시사합니다.

독일 고객 관련 문제를 해결하기 위해서는 세 가지 중요한 사항이 여전히 해결되지 않은 채 남아 있습니다. 첫째, 피해를 입은 680명의 고객 중 독일 거주 고객은 몇 명인지, 둘째, 환불은 어떤 경로를 통해 이루어지는지, 셋째, 마감일 이후 데이터가 판매되거나 공개되었는지 여부입니다. 검토한 자료들은 이 세 가지 질문에 대한 답을 제공하지 못하고 있습니다.

우리의 평가: 비용 보상은 보상이 아니라 신호일 뿐입니다.

편집팀의 견해로는, 이번 약속은 옳지만 너무 적습니다. 수치를 살펴보면 그 이유를 알 수 있습니다. 신분증 발급 비용 46유로는 생년월일, 주소, 직업, 계좌 명세서, 얼굴 사진 등 방대한 개인 정보에 대한 대가로 책정된 금액입니다. 게다가 신분증을 재발급받으면 갱신되는 정보는 신분증 번호 하나뿐입니다. 5개월 동안 680개의 계좌를 관리하는 데 필요한 비용은 환불만으로 충당할 수 있는 규모가 아닙니다.

반면, 검토된 모든 자료에 따르면 레볼루트는 자체 시스템 침입이 아닌 타인의 정부 기관 사서함에 대한 공격의 피해자였습니다. 법 집행 기관의 정보 요청에 응하는 은행은 의무를 이행하는 것이며, 문제는 그 과정에서 얼마나 엄격하게 사실 확인을 하느냐입니다. 이 기준이 충분했는지 여부는 감독 기관의 판단에 달려 있으며, 그때까지 레볼루트의 약속은 수수료를 충당하는 첫걸음에 불과하며 나머지는 미결 상태로 남게 됩니다. 암호화폐 투자는 완전한 손실로 이어질 수 있습니다. 본 평가는 현재 상황을 판단하여 매수 또는 매도를 권장하지 않습니다.

레볼루트 데이터 유출: 10년의 유효성, 10년의 노출 기간

독일 신분증은 10년간 유효하며, 24세 미만 신청자는 6년간 유효합니다. 이 기간 동안에는 신분증을 재발급받지 않은 경우 유출된 사본도 증빙 자료로 사용할 수 있습니다. 향후 절차는 이 점에 달려 있습니다.

1. 손해 배상 책임 범위를 서면으로 확정하고 보상 청구를 시작하세요. GDPR 제15조에 따라 지원팀에 정보를 요청하고, 비용 보상 약정을 서면으로 확인받고, 등록 사무소에서 받은 수수료 고지서를 보관하세요. 휴대폰의 일상적인 잔액 관리를 위해 암호화폐 소프트웨어 지갑 비교를 함께 살펴보는 것도 좋습니다. 자산을 분산하면 단일 정보 유출로 인한 피해를 최소화할 수 있습니다.
2. 로그인 시 SMS 인증 코드를 사용하지 마세요. 모든 거래소와 브로커에서 2단계 인증을 앱이나 하드웨어 키로 변경하고 복구 경로를 검토하세요. 휴대전화 번호는 신원 정보 전체를 확보한 사람에게는 언제든 해킹될 수 있기 때문입니다. 유럽 감독 당국의 감독을 받는 업체와 그들이 제공하는 보안 조치는 규제 준수 암호화폐 거래소 개요에서 확인할 수 있습니다 .
3. 개인 보관으로의 이전을 기록해 두세요. 거래소에서 자산을 인출하는 사람은 누구나 날짜, 금액, 주소를 기록하여 1년 동안 증빙이 가능하도록 해야 합니다. 개인 지갑 간의 이체는 세금이 면제됩니다. 이를 위한 도구는 암호화폐 세금 소프트웨어 및 포트폴리오 추적기 개요에서 확인할 수 있습니다 .