왜 이퀴팩스(Equifax)는 사이버 보안에 소홀했을까?
2017년 9월, 미국 3대 신용정보회사 중 하나인 이퀴팩스(Equifax)는 약 1억 4,700만 명의 개인정보가 유출되었다고 발표하며 전 세계에 충격을 안겼습니다. 목요일 오후 발표된 이 소식은 미국 인구의 절반 이상에게 영향을 미칠 수 있는 규모였고, 이후에도 수많은 데이터 유출 사건이 있었지만 이퀴팩스 사건처럼 큰 파장을 일으킨 사례는 드뭅니다. 이 글에서는 해킹의 경위, 예방 가능 여부, 사후 대응, 처벌과 보상 현황까지 핵심 내용을 정리합니다.
해킹은 어떤 경로로 이루어졌나?
해커들은 Apache Struts CVE-2017-5638이라는 널리 알려진 웹 애플리케이션 취약점을 악용해 소비자 불만 접수 웹사이트를 통해 이퀴팩스 시스템에 침입한 것으로 밝혀졌습니다. 흥미로운 점은 아파치 재단(Apache Foundation)이 해당 취약점이 공개된 2017년 3월 7일 이미 패치를 배포했다는 사실입니다. 그러나 이퀴팩스는 내부 프로세스의 허점으로 인해 이 패치를 적용하지 않았고, 결국 사회보장번호, 생년월일, 주소 등 고객 데이터가 탈취당했습니다.
충분히 예방할 수 있었던 사건
미국 하원 감독위원회(House Oversight Committee) 보고서에 따르면, 이퀴팩스의 보안 관행과 정책은 기준 미달이었고 시스템도 낙후되어 있었습니다. 취약한 시스템에 패치를 적용하는 등 기본적인 보안 조치만 취했어도 이번 대형 유출은 막을 수 있었던 것으로 나타났습니다. 실제로 의회 조사 결과, 이퀴팩스는 공격 몇 달 전에 이미 네트워크 취약점에 대한 통보를 받고도 이를 방치한 것으로 확인되었습니다.
연방거래위원회(FTC) 역시 이퀴팩스가 방대한 개인정보를 담은 네트워크를 제대로 보호하지 않아 수백만 명의 사회보장번호와 생년월일 등 신원 도용·금융 사기에 악용될 수 있는 정보가 노출됐다고 지적했습니다. 특히 2017년 3월 소비자가 신용기록의 진위를 조회하는 ACM 데이터베이스의 치명적 보안 취약점을 통보받고도 패치하지 않은 점이 핵심 문제로 꼽혔습니다.
사건 이후 이퀴팩스는 무엇을 바꿨나?
유출 사건 이후 이퀴팩스는 보안 체계 전반을 개편하기 시작했습니다. 2018년부터 2020년 사이 미국 기업들의 기술·보안 투자 규모가 약 250억 달러에 이르는 가운데, 이퀴팩스 역시 추가 예산을 배정하고 두 분야에서 약 1,000명의 인력을 채용했습니다. 주요 변화는 다음과 같습니다.
- 직원 실수 위험을 줄이기 위한 자동화 보안 도구 도입
- 보안 취약점 패치 주기 대폭 단축
- 시스템 모니터링 강화
- 보안팀과 경영진(C-suite) 간 소통 확대
- 사이버보안의 중요성을 직원 전체가 공유하는 기업 문화 조성
처벌과 합의, 그리고 늦어지는 보상
미국 정부는 이퀴팩스가 미국인 절반 이상의 개인정보를 유출한 책임을 물어, 영향을 받은 소비자에 대한 배상과 규제기관에 대한 벌금 납부, 업무 방식 개선 등을 골자로 하는 합의안을 확정했습니다. FTC, 소비자금융보호국(CFPB), 그리고 약 절반의 주(州)가 회사와 불만을 해소하는 형태로 마무리되었습니다.
그러나 처벌이 즉각 이루어진 것은 아니었습니다. 유출 사건 1주년이 지나도록 회사에 대한 별다른 제재가 없다는 비판이 언론(Quartz 등)에서 제기되기도 했습니다. 합의 이후에도 상황은 순탄하지 않았습니다. 초기 청구 마감일인 1월 31일이 지났음에도 배상금 지급은 계속 지연되었고, 수천만 명에 달하는 피해자 중 상당수가 실질적인 보상을 받지 못하고 있다는 지적이 나왔습니다. 청구를 완료한 사람들은 배상금을 기다리면 되지만, 지급이 늦어질 경우 이의 신청이 필요할 수 있습니다.
이퀴팩스 데이터는 왜 부정확할까?
이퀴팩스는 대출기관, 추심업체 등 신용공급자들로부터 정보를 받아 원시(raw) 데이터 형태로 잠재적 대출기관에 판매하는 구조입니다. 오류가 발생하는 또 다른 원인은 신용공급자들이 정확한 정보를 제공해도 충분한 보상을 받지 못해 정보의 정확성을 높일 유인이 약하다는 점입니다.
또한 일부 계좌가 이퀴팩스 신용보고서에 나타나지 않는 이유도 있습니다. 모든 대출기관과 채권자가 세 곳의 전국 단위 신용조사기관 모두에 보고하는 것은 아니며, 한두 곳 또는 어디에도 보고하지 않는 경우도 있습니다. 일정 기간이 지난 뒤 종결된 계좌는 신용보고서에서 삭제될 수 있습니다. 실제로 플로리다의 한 여성은 회사가 제공한 부정확한 신용정보로 가족이 큰 어려움을 겪었다며 소송을 제기했고, 해당 소송은 합의로 마무리되었습니다.
역대 최악의 해킹인가?
이퀴팩스는 1억 4,300만 명의 미국 거주자가 영향을 받았을 수 있다고 밝혔으며, 이는 인구의 약 44%에 해당합니다. 도난당한 데이터의 민감도와 방대한 양을 고려하면 역대 가장 심각한 유출 중 하나로 평가됩니다. 다만 전체적인 규모만 놓고 보면 역대 최대 유출을 기록한 야후(Yahoo) 사건에는 미치지 못한다는 평가도 존재하며, 전문가들은 아직 더 큰 사건이 올 수 있다며 경계를 당부하기도 합니다.
조사에서 짚어낸 네 가지 보안 허점
이퀴팩스 유출 사건에 대한 조사에서는 공격자가 성공적으로 네트워크에 침투해 개인식별정보(PII)가 담긴 데이터베이스에서 데이터를 빼낼 수 있었던 네 가지 주요 요인이 지목되었습니다. 침해 패턴 식별, 보안 사고 탐지, 데이터베이스 접근 권한 분리 등 핵심 보안 통제가 제대로 작동하지 않았다는 것입니다.
윤리 문제와 남은 교훈
비판자들은 이퀴팩스의 무성의한 태도가 고객이 아니라 정보를 맡긴 사람들에 대한 무관심에서 비롯된다고 지적합니다. 개인이 회사에 대해 어떤 생각을 하든 실적에는 큰 영향이 없다는 구조 자체가 윤리적 문제를 낳는다는 것입니다.
이번 사건을 계기로 조사위원회는 앞으로 사회보장번호를 개인 식별 수단으로 사용하지 말 것을 권고했습니다. 개인 차원에서 할 수 있는 자기보호 방법으로는 신용 동결(크레딧 프리즈), 강력한 비밀번호 사용, 민감한 서류 파쇄 등이 꼽힙니다. 이퀴팩스 사건은 알려진 취약점을 제때 패치하는 기본적인 보안 습관이 얼마나 중요한지를 보여준 대표적 사례로 남아 있습니다.