에퀴팩스 악몽 아직 끝나지 않았는데...다시 한 번 억소리 나는 금융권 사고
FBI가 용의자 체포...아직 정보가 다른 곳으로 새나간 흔적은 찾지 못해

[보안뉴스 문가용 기자] 한 해커가 미국의 은행 지주 회사인 캐피탈 원(Capital One)에 침투해 1억 명 이상의 개인정보에 접근한 사실이 공개됐다. 용의자는 체포된 상태다. 에라틱(erratic)이라는 온라인 닉으로 활동해오던 페이지 톰슨(Paige A. Thompson)이라는 인물로, 현재 미국 시애틀 지방 법원에 기소장이 제출된 상태다.


톰슨이 손에 넣은 정보는 신용평점, 계좌 잔액, 사회 보장 번호(14만 명)라고 캐피탈 원은 밝혔다. 캐피탈 원은 피해를 입은 고객 전원에게 신용 모니터링 서비스를 무료로 제공할 예정이다.

FBI가 톰슨을 체포한 것은 미국 시간으로 이번 주 월요일. 톰슨의 거주지를 급습해 각종 디지털 장비들을 압수했고, 이를 검사하면서 캐피탈 원과 관련된 파일들을 발견해낼 수 있었다. 그 외에도 여러 ‘공격 표적’들이 발견됐는데, 톰슨이 이들에 대한 공격을 계획 중에 있었는지 아니면 이미 공격을 시도했는지는 불투명하다.

캐피탈 원은 버지니아의 맥클레인에 있는 회사로, 7월 19일 시스템에 있는 취약점과, 그 취약점이 악용된 흔적을 발견했고, 즉시 유관기관에 도움을 요청했다고 이번 주 월요일 발표했다. FBI에 제출한 고소장에 의하면 “누군가 이틀 전에 캐피탈 원으로 ‘코드 공유 사이트인 깃허브에 유출된 데이터로 보이는 것이 등장했다’는 내용의 이메일을 보냈다”고 한다.

그런데 사건이 있기 한 달 전 한 트위터 사용자가 캐피탈 원에 협박성 메시지를 보낸 사실이 FBI의 수사 과정에서 드러났다. 이 트위터 사용자의 닉은 에라틱이었고, 협박 내용은 ‘은행의 데이터를 배포하겠다’는 것이었다고 한다. 당시 에라틱은 이름, 생년월일, 사회 보장 번호를 가지고 있다고 주장했었다.

즉 에라틱이란 사용자가 한 달 전에 이미 은행의 데이터를 훔쳐 협박을 가해온 것인데, 이 때문에 캐피탈 원 측은 “수사는 계속 진행 중에 있지만 범인이 훔쳐낸 정보가 추가 사기 공격에 사용된 것으로 보이지 않는다”고 주장하고 있다. 현재 이 사건의 영향을 받은 캐피탈 원 고객은 미국인 1억 명, 캐나다인 600만 명으로 추산된다.

캐피탈 원은 “영향을 받은 정보 대부분 2005년과 2019년 초 사이 신용카드를 신청했던 개인 고객과 소기업 고객이 제출한 것”이라고 설명했다. “전화번호, 이메일 주소, 생년월일, 개인이 직접 작성한 수익 수준 등”이 여기에 포함된다. 그 외에 신용 등급, 신용 한도, 계좌 잔액, 거래 정보 일부가 해커 손에 넘어간 것으로 보인다.

캐피탈 원의 CEO인 리차드 페어뱅크(Richard D. Fairbank)는 AP통신과의 인터뷰를 통해 “범인이 체포된 것에 무척 다행이라고 생각하지만, 이같은 일이 벌어진 것 자체에 대해 안타까운 마음”이라고 말했다. 그는 “고객들께 깊은 사과를 드린다”며 “(고객들의 생활을) 최대한 정상적으로 되돌리기 위해 최선을 다하겠다”고 약속하기도 했다.

캐피탈 원은 미국에서 7번째로 큰 상업은행 브랜드이며, 미국 시민들은 2017년 에퀴팩스(Equifax) 사건에 이어 금융 기관에서의 심대한 정보 유출 사건을 다시 한 번 겪게 되었다. 2년 전 사고로 수많은 피해자를 양산했던 에퀴팩스는 지난 주 FTC에 7억 달러의 합의금을 내기로 했으며, 이 중 4억 2500만 달러는 고객들에게 돌아가기로 약속됐다.

3줄 요약
1. 미국에서 7번째로 큰 은행 브랜드인 캐피탈 원에서 1억 건 규모의 정보 유출 사건 발생.
2. 용의자는 한 달 전 은행으로 협박 트위터를 보냄. 그리고 이번 주 FBI에 체포됨.
3. 현재까지 피해자는 미국인 1억 명, 캐나다인 600만 명인 것으로 추산됨.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>