쿠라카오 데이터 유출: 해커 릴리스 비트만, 카지노 UBO 폭로 위협

카리브해 섬나라 큐라소는 수년 동안 전 세계 게임 사업자들에게 익명성의 요새 역할을 해왔지만, 그 시대가 끝나갈 수도 있습니다. 정부의 보안 취약점을 폭로한 것으로 알려진 독일 IT 활동가 릴리스 비트만은 큐라소 도박 감독국(CGA)의 성공적인 침해를 발표했습니다. 이는 사소한 유출이 아니라 규제 시스템 내부 작동에 대한 포괄적인 노출로, 수십억 달러 규모의 역외 산업의 막을 걷어낼 위협을 가하고 있습니다.

비트만은 2025년 12월 CGA 서버에 침입하여 9개월 동안 규제 기관의 운영을 실시간으로 관찰했다고 주장합니다. 결정적으로, 그녀는 이제 허가받은 법인의 최종 수익자(UBO)에 대한 정보를 보유하고 있다고 주장합니다. 5개국 언론 매체에 걸쳐 조율된 발표를 통해 그녀는 이미 1Xbet, Stake.com, SoftSwiss, Platinum Casino와 같은 주요 사업자에 대한 세부 정보를 강조했습니다. 큐라소의 불투명성에 의존하여 신원을 숨겨온 개인들에게는 심각한 결과가 따릅니다.

숫자와 사실

취약점의 규모는 엄청납니다. 비트만은 보안 취약점을 식별하고 악용하여 완전한 관리자 접근 권한을 얻는 데 8시간도 채 걸리지 않았다고 언급했습니다. 이를 통해 감독 기관에 제출된 모든 라이선스 신청, 재무 서류 및 내부 프로세스를 볼 수 있었습니다. 추가적인 맥락은 해당 지역의 다른 최근 실패 사례, 예를 들어 2025년 5월에 540명의 사용자 자격 증명이 포함된 PDF가 유출된 MyStake Casino 침해 사건을 통해 제공됩니다. 포렌식 조사관들은 유출 후 8개월이 지났음에도 불구하고 운영업체인 Santeda International B.V.가 강제 비밀번호 재설정과 같은 의미 있는 조치를 취하지 않았다는 사실을 발견했습니다.

"9개월 동안 저는 큐라소 도박 감독 기관이 일하는 것을 실시간으로 지켜봤습니다. 직원들은 전혀 몰랐죠. 불법 온라인 카지노의 소유주가 누구인지, 누가 자금을 지원하는지, 그리고 감독 기관이 그들의 운영에 대해 무엇을 알고 있는지 볼 수 있었습니다. 오늘... 저는 #casinosecrets 를 공개합니다." - 릴리스 비트만, IT 활동가 및 해커

CGA 대변인은 언론에 해당 기관이 투명성을 유지하기 위해 노력하고 있으며 곧 성명을 발표할 것이라고 말했습니다. 그러나 해당 관할권에 대한 신뢰는 사상 최저치입니다. 이번 침해는 연초 몰타 도박 감독 기관(MGA)에서 발생한 유사한 사건에 뒤이은 것으로, 해당 사건으로 인해 법무법인 Bird & Bird LLP는 비트만에 대해 1,300페이지 분량의 예비 금지 명령을 내렸습니다. 큐라소의 방어 체계는 몰타보다 우회하기가 더 쉬웠던 것으로 보입니다.

배경

퀴라소는 유럽 본토의 엄격한 규제 기준을 피하려는 운영업체들에게 오랫동안 선호되는 허브였습니다. 이 섬의 라이선스는 저렴하며, 기업 구조는 종종 실제 소유자를 모호하게 만듭니다. 그러나 네덜란드 정부는 더 엄격한 라이선스 조건을 요구하며 개혁 압력을 가해왔습니다. 이번 해킹은 CGA가 이미지를 현대화하려는 중요한 시점에 발생했습니다. 민감한 데이터가 노출된 것은 1억 건의 도박 거래를 보호하지 못한 ElasticSearch 서버의 이전 사례를 연상시키며, 역외 검색 엔진 보안의 체계적 실패를 강조합니다.

독일 플레이어에게 중요한 이유

독일의 플레이어들에게 이 뉴스는 회색 시장의 위험에 대한 냉혹한 경고로 작용합니다. 퀴라소 라이선스 카지노에 대한 예금은 명백히 불충분한 IT 프로토콜을 가진 기업들에 의해 관리됩니다. 2021년 독일 주간 도박 조약(GlüStV 2021)은 정확히 이러한 종류의 데이터 노출을 방지하기 위해 제정되었습니다. Gemeinsame Glücksspielbehörde der Länder(GGL)의 라이선스를 받은 카지노는 엄격한 사이버 보안 및 데이터 보호법을 준수해야 합니다.

독일 거주자는 항상 GGL 공식 화이트리스트를 확인해야 합니다. 이러한 제공업체만이 LUGAS를 통한 월 1,000유로의 예금 한도 및 슬롯의 스핀당 1유로 한도와 같은 의무적인 플레이어 보호를 제공합니다. MyStake 유출은 역외 운영업체가 종종 데이터 유출을 수개월 동안 무시하여 플레이어를 신원 도용 및 피싱에 취약하게 만든다는 것을 보여줍니다. 퀴라소 카지노가 실패할 경우, 독일 시민이 자신의 개인 정보를 보호할 법적 구제 수단은 거의 없습니다.

GGL 라이선스 카지노에게 의미하는 바

합법적인 독일 운영업체는 이 스캔들을 규제의 가치를 입증할 기회로 볼 수 있습니다. CGA와 같은 역외 규제 기관이 안전하지 않음이 드러나는 반면, 독일 규제 프레임워크는 소비자 데이터를 위한 안전한 피난처를 제공합니다. 현재 퀴라소에서 벗겨지고 있는 익명성은 GGL 라이선스 기업에는 존재하지 않으며, 라이선스가 부여되기 전에 소유권이 완전히 투명해야 합니다. 이러한 투명성은 역외 기업이 빠르게 잃어가고 있는 신뢰를 구축합니다. 독일 운영업체는 플레이어를 합법적이고 규제된 시장으로 다시 유치하기 위해 우수한 보안 표준을 강조해야 합니다.