대형 기업이 해킹 사고를 당하면 피해자들이 자신의 개인정보가 악의적인 공격자의 손에 넘어갔다는 사실을 통보받기까지 몇 주, 때로는 몇 달, 심지어 1년 가까이 걸리는 경우가 드물지 않습니다.
대표적인 사례가 우버(Uber)입니다. 전 세계에서 택시 대안 서비스를 제공하는 우버는 2016년 10월부터 해킹 사고를 알고 있었지만, 블룸버그(Bloomberg)가 보도한 2017년 11월이 되어서야 이를 공개했습니다. 더 충격적인 것은, 뉴스 1면에 오르는 것을 막기 위해 해커에게 몸값까지 지불했다는 점입니다(결국 이 계획은 처참하게 실패했습니다).
왜 문제가 될까요? 우버, 엑퀴팍스(Equifax), 야후(Yahoo) 같은 기업들은 왜 해킹 사고를 그토록 오랫동안 숨겼을까요?
고객의 신뢰를 잃고 싶지 않아서
다소 모순적으로 들리지만, 일부 경영진은 해킹 사고를 덮으면 고객이 계속 신뢰해 줄 것이라 믿습니다. 사고가 큰 피해로 이어지지 않기를 조용히 바라며, 시간이 지나 분위기가 가라앉으면 그제야 파장이 상대적으로 적은 상태에서 공표할 수 있다고 생각하는 것이죠.
마치 성적표를 받아 든 아이가 엄마에게 보여주기를 주저하는 것과 비슷합니다. 엄마는 성적표가 온다는 사실을 알지만, 아이는 엄마가 잊어버리거나 다음 학기에 성적이 좋아져서 나쁜 성적 옆에 좋은 성적을 함께 보여줄 수 있기를 바라는 것이죠. "보세요, 그렇게 나쁘지 않잖아요!"라고 말하면서요.
유감스럽게도 이런 행동은 들리는 대로 역효과를 낳습니다. 고객들은 자신도 모르는 사이 개인정보가 몇 달씩 악용되었다는 사실을 알게 되면 배신감을 느낍니다. 특히 주민등록번호, 신용카드 번호 등 민감한 정보가 유출된 경우에는 더욱 그렇습니다.
주가 하락이 두려워서
같은 논리로, 증시에 상장된 기업들도 정확히 같은 이유로 해킹 사고를 숨깁니다. 차이점은 주주들을 불안하게 만들고 싶지 않다는 것입니다. 사고가 극도로 심각하지 않다고 여겨지면 주가가 곤두박질치지 않을 것이라 기대하는 것이죠.
주주들이 좀 더 관대할 수도 있습니다. 예를 들어 엑퀴팍스는 2017년 9월 7일 해킹 사고를 발표했을 때 주당 464달러 선에서 거래되었습니다. 직후인 9월 11일에는 주당 474달러를 기록했고, 엑퀴팍스는 큰 타격을 입지 않았습니다. 하지만 한 달이 진행되면서 하락세를 보였고, 9월 26일에는 주당 434달러로 거래되었습니다.
그러나 뉴스가 잦아들면서 다시는 그 저점을 기록하지 못했습니다. 11월에는 9월 11일의 가격을 웃돌며 주당 최고 492달러를 기록하기도 했습니다.
거기에 더해, 창피함이라는 감정
CEO의 입장이 되어 상상해 보세요. 수천 명의 직원, 수십억 달러의 자산, 수천만 명의 사용자와 고객을 거느린 회사를 이끌고 있습니다. 그런데 어느 날, 해커 한 명이 IT 부서가 몇 달 전 패치를 잊어버린 서버 취약점을 발견합니다. 대학 중퇴생 한 명이 자취방에서 거대 기업 전체를 무릎 꿇려 버린 것입니다.
자존심에 상당한 타격이겠죠. 자존심이 다소 과한 사람이라면 어떻게 할까요?
때로는 올곧은 신념을 가진 경영진조차 폭풍우가 지나가기를 기다리며 모든 것이 저절로 사라지기를 바라기도 합니다. 그러다 결국 대가를 치르고 후회하게 되는데, 이미 너무 늦은 뒤입니다. 책임 있는 자리에서도 공격의 피해자들에게 실수를 인정할 용기를 내지 못한 것입니다.
해결책은 없을까?
선진국 대부분은 상업법규 안에 사이버 보안 법률을 두어, 해킹 사고 발견부터 공개까지 너무 오랜 시간이 걸리지 않도록 하고 있습니다. 예를 들어 2017년 11월 우버의 은폐 사건처럼 미국 연방거래위원회(FTC)가 무거운 제재를 가한 사례가 있습니다.
심지어 미국 의회에서는 해킹 사고를 부당하게 장기간 은폐한 경영진에게 징역형을 부과하는 법안도 논의되고 있습니다.
개인이 할 수 있는 일은 개인정보를 신중하게 관리하는 것 정도지만, 정부는 이런 기업들을 처벌하는 법률을 마련해 두고 있습니다. 미국은 여기서 한 걸음 더 나아가 징역형이라는 처벌 옵션까지 추가하고 있습니다.
다시 강조하지만, 반드시 필요한 경우가 아니라면 상대 기관이 아무리 신뢰할 만해 보여도 민감한 정보를 인터넷에 올리는 일은 최소화해야 합니다.
어떻게 생각하시나요? 고객에게 영향을 미치는 해킹 사고를 은폐한 경영진은 감옥에 가야 할까요? 댓글로 의견을 남겨주세요!