대상: Trezor 하드웨어 지갑을 주문한 사람, Framework, n8n, Tally, Kilo Code, Privy 이용자, 그리고 Metabase 또는 유사한 분석 도구를 운영하는 모든 사람. 이 글은 각 조직의 공식 공개 내용과 보도를 바탕으로 하며, 공격 기법은 다루지 않습니다. 취약점의 기술적 세부 사항과 수정 방법은 CVE-2026-72898 경보에 있습니다.
나는 영향을 받았나요? 빠른 참고표
자체적으로 피해를 공개한 조직만 나열했다(공개 순서). "공개되지 않음"은 조직이 수치를 밝히지 않았다는 뜻이다.
| 조직 | 공개일 | 유출 내용(조직 발표 기준) | 건수 | 포함되지 않은 항목 |
|---|---|---|---|---|
| Framework(노트북) | 8월 6일(고객 공지) | 이름, 이메일 주소, 로그인 IP 주소, 청구 및 배송 주소, 전화번호, 회사명 | 공개되지 않음 | 주문 및 결제 데이터 |
| n8n(워크플로 자동화) | 8월 8일; 내역 8월 11일 수정 | 12건에서 개인 데이터 접근 확인, 62건에서 접근 가능성; 확인된 5건에는 bcrypt 해시 처리된 비밀번호 포함 | 보고된 기록 136건(아래 내역) | 나머지 62건은 민감한 정보가 없다고 설명됨 |
| Kilo Code(Anaconda 소속) | 8월 9일 | 일부 사용자의 경우: 이름, 이메일 주소, 청구 주소, 위치 정보, Slack 액세스 토큰, 프롬프트 일부 또는 전체 | 공개되지 않음(일부 사용자) | 결제 카드 데이터 |
| Privy(지갑 인프라) | 8월 | 고객 및 최종 사용자 이메일 주소, 개발자가 설정한 일부 필드 | 공개되지 않음 | 지갑 인프라 및 인증 시스템 |
| Trezor(하드웨어 지갑) | 8월 13일; 9월에 범위 확대 | 이름, 이메일 주소, 전화번호, 배송 주소, 주문 번호 | 고객 80,689명 | 지갑, 개인 키, 백업, 결제 데이터 |
n8n의 8월 11일 18:00 CEST 업데이트는 보고된 136건의 기록을 다음 그룹으로 나눈다. 이는 중복을 제거한 사람 수가 아니라 기록 건수다.
| 기록 수 | 항목 | 접근 상태(n8n 발표 기준) |
|---|---|---|
| 7 | n8n Cloud 사용자명과 이메일 주소 | 접근 확인됨 |
| 5 | 이름, n8n Cloud 사용자명, 이메일 주소, bcrypt 해시 처리된 비밀번호 | 접근 확인됨 |
| 62 | 이름과 이메일 주소 | 접근됐을 수 있음; 그중 실제로 가져간 것이 있는지는 미확인 |
| 62 | 민감한 정보가 없다고 설명됨 | 접근된 것으로 설명됨 |
n8n은 침해 원인을 Metabase 취약점으로 보고 있으나, 10월 20일 확인한 공식 글에는 CVE가 명시되어 있지 않다. n8n 사고와 CVE-2026-72898 사이의 연관성은 여기서 확인되지 않았다. 다른 조직의 원인은 각 공개 내용과 보도 범위 안에서만 기술한다.
또한 양식 제작 서비스 Tally는 분석 환경에서 이메일 주소와 해시 처리된 비밀번호가 유출됐다고 사용자에게 알린 것으로 보도됐다. 양식과 응답은 별도로 저장되어 영향을 받지 않았다고 한다.
해시 처리란 비밀번호를 원래 값으로 되돌릴 수 없는 형태로 바꾸는 것을 말한다. 해시 값을 직접 읽을 수는 없지만, 짧거나 재사용된 비밀번호는 추측될 수 있으므로 통지를 받았다면 비밀번호를 바꾸십시오.
오늘 해야 할 일
Trezor 고객: 어떤 이유로도 백업(복구 시드)을 입력하지 마십시오
복구 시드는 지갑을 복원하는 12–24개의 단어다. 이것을 가진 사람은 기기 없이도 자산을 옮길 수 있다.
Trezor는 고객에게 백업을 웹사이트에 입력하거나 누구와도 공유하지 말 것을 요청한다. 취약점, 계정 확인, 새 앱 이동 등 어떤 명목이든, 이메일, 문자, 전화, 편지 중 무엇으로 오든 마찬가지다.
Trezor 고객: 집 주소가 알려졌다고 가정하고, 우편물과 현관 앞을 주의하십시오
이번에 유출된 것은 배송 주소다. Trezor 스스로도 이것이 영향을 받은 사람에게 신체적 보안 위험(누군가 거주지를 안다는 데서 오는 위험)을 줄 수 있다고 밝혔다.
Trezor에서 보냈다고 주장하는 편지나 주문하지 않은 택배(예: "교체 기기")를 받으면 안에 적힌 안내를 따르지 마십시오. 대신 Trezor 공식 사이트를 통해 직접 문의하십시오. 보유한 암호화폐 규모를 소셜 미디어에서 언급하지 않는 것도 이전보다 중요해졌다.
Trezor 고객: 앞으로의 주문에 대해 배송 및 연락처 정보를 다시 검토하십시오
Trezor는 앞으로의 주문에 대해 익명 이메일 주소 사용, 암호화폐 결제, 사서함 이용을 고려하라고 제안한다. 무인 택배함이나 픽업 장소를 이용하면 배송 라벨에 집 주소가 남지 않는다.
n8n, Tally 또는 다른 서비스에서 통지를 받았다면: 비밀번호를 바꾸고 재사용하지 마십시오
n8n은 통지를 받은 사용자에게 가능한 한 빨리 비밀번호를 재설정하라고 요청했다. 같은 비밀번호를 다른 곳에서도 쓰고 있다면 그곳에서도 바꾸십시오. 비밀번호 관리자를 쓰면 비밀번호를 서로 분리해 관리하기 쉽다.
Kilo Code 사용자: Slack 연결과 세션을 확인하십시오
Kilo Code는 Slack 연동 기능을 쓰는 일부 사용자의 Slack 액세스 토큰(로그인 없이 앱이 Slack에서 동작하게 해 주는 문자열)이 포함됐다고 밝혔다. Slack에서 앱 권한을 검토하고, Kilo 계정에서 본인이 인식하지 못하는 세션이 있는지 확인하십시오. Kilo는 8월 18일부터 접근된 본인 데이터를 내려받을 수 있는 내보내기 기능을 제공하고 있다.
모두: 이 회사를 사칭한 메시지의 링크를 열지 마십시오
이름, 이메일 주소, 전화번호가 함께 있으면 그럴듯한 메시지를 만들 수 있다. 받은 메시지의 링크는 열지 말고, 공식 사이트나 앱을 직접 열어 확인하십시오(피싱이란 무엇인가 참고).
별개의 사고: Trezor 뉴스레터 구독자에게 발송된 가짜 이메일(2026년 9월)
Trezor는 2026년 9월 9일 뉴스레터 발송에 쓰는 이메일 서비스가 침해되어, Trezor 계정에서 약 347,000개의 구독자 주소로 가짜 보안 경고가 발송됐다고 밝혔다.
이 이메일은 지갑 구성 요소에 결함이 있다고 거짓으로 주장하며, 독자를 백업을 요구하는 앱으로 유도했다. Trezor는 약 20분 만에 해당 도메인을 차단했다고 밝혔지만, 그 전에 약 2,500명이 링크를 클릭한 것으로 나타났다. 이는 Metabase 사고와 별개이며, 이번에는 이메일이 실제 발신자에게서 왔다는 점이 다르다. 정상적인 발신자라 하더라도, 백업을 요구하는 요청은 모두 가짜다.
무슨 일이 있었나(조직들의 공개 내용 기준)
Metabase는 차트와 보고서를 만들기 위해 조직의 데이터베이스에 연결되는 BI(비즈니스 인텔리전스) 도구다. 조직이 직접 운영할 수도 있고(자체 호스팅), Metabase가 운영하는 클라우드 서비스로 쓸 수도 있다.
Metabase에 따르면, 8월 3일 한 클라우드 고객이 근무 시간 외에 생성된 API 키를 신고했고, 이를 조사하던 중 이전에 알려지지 않은 취약점이 발견됐다. Metabase는 수정 전에 클라우드 고객의 3% 미만과 인터넷에서 접근 가능한 일부 자체 호스팅 인스턴스가 침해됐다고 밝혔다.
각 조직의 고객 데이터베이스
이름, 이메일 주소, 전화번호, 주소, 주문 번호 등
↓ 판매 및 사용 보고서를 만들기 위해 연결
분석 환경(Metabase)
침해된 분석 환경. Trezor의 경우 물류 파트너의 환경이었다
유출: 도구가 읽을 수 있었던 데이터
Trezor 고객 80,689명의 이름, 주소, 전화번호, n8n의 해시 처리된 비밀번호 등
포함되지 않았거나 영향을 받지 않음
Tally의 양식과 응답(별도 저장), Privy의 지갑 인프라(분석과 분리), 모든 조직의 결제 데이터
2026년 8월 2–3일
Kilo Code(8월 2일 약 4시간), n8n, Framework, Tally(8월 3일)가 분석 환경에서 무단 접근이 있었다고 밝혔다.8월 6일
Metabase가 수정 버전을 출시하고, 취약점이 수정 이전에 악용됐다고 밝히며 영향을 받은 고객에게 통지했다. Framework는 고객 공지를 보냈다.8월 8–9일
n8n과 Kilo Code가 피해를 공개했다.8월 11일
미국 CISA가 이 취약점을 실제로 악용되고 있는 취약점 목록(KEV)에 추가했다.8월 13일
Trezor가 물류 파트너의 분석 환경에서 고객 13,689명의 데이터가 유출됐다고 공개했다.8월 27일
Metabase가 사고 경위와 보안 강화 계획을 공개했다.9월 2일
파트너로부터 2019–2021년 미국 주문 데이터 약 67,000명의 고객도 포함되어 있었다는 통보를 받았고, Trezor는 공개 내용을 업데이트했다(총 80,689명).
- 경로
- Trezor 제품을 보관하고 발송하는 물류 파트너의 분석 환경. 보도에 따르면 파트너는 고객에게 Metabase 소프트웨어의 취약점이 악용됐다고 알렸다
- 영향(2026년)
- 5월 10일부터 8월 8일 사이에 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈에서 발송된 주문. 모든 항목이 포함된 고객 11,742명, 이름, 도시, 이메일만 포함된 고객 1,947명
- 영향(과거)
- 2019년 11월부터 2021년 8월까지의 미국 주문 약 67,000건, 모든 항목 포함
- 데이터
- 이름, 이메일 주소, 전화번호, 배송 주소, 주문 번호
- 영향받지 않음
- Trezor 시스템, 하드웨어 지갑, 개인 키, 지갑 백업, 결제 데이터
- 과거 데이터
- Trezor는 계약과 데이터 정책에 따라 파트너에게 데이터 삭제를 여러 차례 요청했고, 삭제했다는 서면 확인을 받았다고 밝혔지만 데이터는 삭제되지 않았다
- 통지
- notification@trezor.io에서 영향을 받은 고객에게 발송된 이메일
분석 도구를 운영하는 사람들을 위해
업그레이드, 세션 취소, 연결된 데이터베이스 자격 증명 교체는 CVE-2026-72898 경보에 단계별로 설명되어 있다. 여기서는 피해 사례가 보여주는 한 가지를 더 다룬다. 클라우드 고객은 스스로 무엇을 하기 전에 침해당했다. 그 시점에 피해를 제한한 것은 도구에 읽기가 허용된 데이터뿐이었다.
피해를 키운 요인(공개 내용 기준)
- 분석 도구가 주소와 전화번호 열을 읽을 수 있었다
- 삭제되어야 했던 수년 전 주문 데이터가 파트너에게 남아 있었다
- 인터넷에서 접근 가능한 자체 호스팅 인스턴스가 침해됐다(Metabase 발표 기준)
피해를 줄인 요인(공개 내용 기준)
- Tally는 양식과 응답을 별도 장소에 저장했다
- Privy는 지갑 인프라를 분석 환경과 분리해 두었다
- Framework는 분석에 필요한 열에만 접근을 제한하겠다고 밝혔다
분석 도구의 데이터베이스 사용자가 읽을 수 있는 열을 목록으로 만드십시오
여기서 시작하십시오. Metabase 관리 화면(또는 해당 도구의 동등한 화면)에서 연결된 데이터베이스를 모두 나열한 다음, 각 연결 사용자가 읽을 수 있는 테이블과 열을 기록하십시오(PostgreSQL에서는 information_schema.role_table_grants와 information_schema.column_privileges로 확인할 수 있다).
보고서에는 주소, 전화번호, 이메일 주소가 거의 필요하지 않습니다
판매 및 사용 보고서에는 보통 날짜, 금액, 제품, 대략적인 지역, 고객 ID면 충분하다. 필요한 열만 담은 뷰(뷰는 테이블의 일부를 보여 주는 가상 테이블)를 만들고, 연결 사용자에게 이 뷰에 대한 읽기 권한만 부여하십시오. 고객 ID는 실제 값 대신 대체 값을 사용할 수 있다(가명 처리).
파트너에게 제공한 데이터가 실제로 삭제됐는지 확인하십시오
Trezor의 경우, 수년 전 주문 데이터가 파트너에게 남아 있었다. 파트너의 분석 환경도 데이터가 존재하는 또 하나의 장소다. 계약서의 삭제 조항만 믿지 말고, 무엇을 어떻게 삭제하는지, 그리고 어떻게 검증할지를 합의하고, 계약 종료 시점과 주기적으로 확인하십시오.
자체 호스팅 분석 도구를 공개 인터넷에서 분리하십시오
분석 도구는 내부 직원만 사용해야 한다. VPN, 출발지 IP 제한 또는 내부 전용 네트워크를 사용해 로그인 페이지 자체가 외부에서 보이지 않도록 하십시오. 이 취약점은 로그인 이전에 실행되는 코드에 있었기 때문에 강력한 비밀번호와 다단계 인증으로도 막을 수 없었다(VPN 장비 취약점 방어 참고, 재설정 흐름이 흔한 표적인 이유는 비밀번호 재설정 설계 결함 참고).
취약점을 며칠 안에 수정할지 미리 정해 두십시오
취약점 정보가 어디로 들어오는지, 심각도별로 며칠 안에 수정해야 하는지, 누가 결정하는지를 미리 정하십시오. 분석 도구 같은 내부 도구는 업데이트를 담당할 명확한 책임자가 없는 경우가 많다. 운영 중인 도구 목록과 각 도구의 담당자부터 시작하십시오(보안 자산 목록 점검표, CVE 대응 플레이북).
이 사이트의 견해: 분석 도구가 읽을 수 있는 데이터도 운영 데이터처럼 보호하십시오
분석 도구는 "보기만 하는" 도구로 취급되어 운영 데이터베이스보다 덜 신경 써서 관리되는 경우가 많다. 하지만 연결되는 순간 같은 데이터를 읽을 수 있다. 이번 사례에서 나열된 모든 조직은 주 서비스가 아니라 분석 환경에서 데이터를 잃었다.
보고서에 집 주소가 필요한 경우는 드물다. 도구가 읽을 수 없는 열은 유출될 수 없다. 이 방법은 제때 패치할 수 없을 때도 효과가 있으며, 바로 클라우드 고객이 처한 상황이었다.
출처(공개 기록)
이 글의 사실은 다음 공개 정보를 바탕으로 한다. 공개되지 않은 침해 방법이나 원인에 대해서는 추측하지 않는다.
- Metabase, "Security update available for Metabase"(2026년 8월 6일) — metabase.com
- Metabase, "August 2026 Security Vulnerability: What happened?"(2026년 8월 27일) — metabase.com
- Trezor, "Recent customer data exposed in shipping provider incident"(2026년 8월 13일; 9월 업데이트) — trezor.io
- Trezor, 뉴스레터 이메일 제공업체의 보안 사고 공지(2026년 9월) — trezor.io
- n8n, "Metabase security incident update"(2026년 8월 8일; 8월 11일 업데이트) — blog.n8n.io
- Anaconda, "Metabase Incident Impacting Kilo Code Customer Data"(2026년 8월) — anaconda.com
- Privy, "Post-mortem on August 6, 2026 Metabase security incident" — privy.io
- 보도: BleepingComputer의 Framework 및 Tally 공지 관련 기사 — bleepingcomputer.com / Trezor의 확대된 범위와 파트너의 입장 관련 기사 — bleepingcomputer.com
- 미국 CISA, "Known Exploited Vulnerabilities Catalog"(CVE-2026-72898, 2026년 8월 11일 추가) — cisa.gov
업데이트 기록
2026-10-20: n8n의 8월 11일 내역과 특정 CVE와의 미확인 연결을 일부 재확인하고 수정했다. 다른 조직의 피해나 원인에 대한 전면 재검증은 아니다.
2026-10-03: 최초 버전. Metabase, Trezor, n8n, Anaconda(Kilo Code), Privy의 공식 공개 내용과 Framework 및 Tally 공지에 관한 보도를 바탕으로 작성했다. 더 많은 조직이 피해를 공개하면 업데이트할 예정이다.
다음으로 읽을거리
- 노출된 Metabase 서버에서 시작된 또 다른 침해: Double Counter(Discord 봇, 약 2,800만 ID)
- 기술적 세부 사항과 수정: CVE-2026-72898(Metabase 인증 없는 SQL 인젝션) / SQL 인젝션이란 무엇인가?
- 로그인 없이 공격받은 또 다른 내부 도구: Orkes Conductor CVE-2026-58138(워크플로 엔진, 공격 시도 관찰됨)
- 운영자용: 비밀번호 재설정 설계 결함 / VPN 장비 취약점 방어 / CVE 대응 플레이북
- 일본에서 내부 관리 도구가 침입 경로였던 사례: NewsPicks 데이터 유출(카드 소지자 이름과 끝 자리 숫자)
- 가짜 메시지 식별: 피싱이란 무엇인가? / 비밀번호 관리자 선택하기
- 일본 정부와 JPCERT/CC의 경고(Metabase는 사례 C로 기재): 2026년 10월 일본 무단 접근 경고와 이번 주 점검 사항
- 기타 2026년 사고: 2026년 데이터 유출 및 사이버 공격