美은행 캐피털원 해킹사건, 30개 기업·기관 피해로 확대

미국 정부가 1억600만명 이상의 이용자 데이터를 탈취당한 미국의 대형 은행 해킹사건을 조사하던 중 같은 용의자의 범죄에 당한 기업과 기관 피해자 수십곳을 추가 파악해 파장이 예상된다.

당초 피해자로 알려진 대형 은행은 아마존웹서비스(AWS)의 클라우드 서버를 사용해 데이터를 보관하던 미국의 '캐피털원'이었다. 캐피털원은 페이지 톰슨이라는 해커가 지난 3월 캐피털원 서버를 해킹해 데이터를 유출시켰다는 사실을 지난달 인지했다. 그런데 페이지 톰슨은 캐피털원뿐아니라 30여곳 이상의 기업과 기관의 데이터를 탈취한 것으로 파악됐다.

지난 14일 미국 지디넷, 기즈모도, 애플인사이더 등 다수 외신 보도에 따르면 미국 정부는 톰슨의 구금을 지지한다는 의견을 워싱턴 서부 지역 법원에 전달했다.

그 이유 중 하나로, 톰슨의 거주지를 수색한 결과 30여개 타 기업, 기관, 교육 단체 등으로부터 탈취한 데이터들을 발견했다는 사실을 언급했다.

새로 발견된 데이터 규모는 테라바이트(TB)급이다. 이 데이터 중 대부분은 개인 식별 정보를 포함하지 않았다.

■ "클라우드 상 보안 문제 아니다"

캐피털원과 AWS는 이번 사고가 AWS 체계 상의 보안 문제로 발생한 게 아니라 웹 애플리케이션 방화벽 상의 취약점으로 발생했다고 주장했다.

이번 해킹 사고는 유출 데이터 규모 외에도 톰슨이 AWS 엔지니어 근무 이력을 보유했다는 점에서도 관심을 끌었다. 다른 AWS 고객사 시스템에 대해서도 접근했을 가능성 때문이다.

캐피털원 외의 피해자로 언급된 30여개의 기업, 기관, 단체가 AWS 고객사인지, 같은 방식으로 데이터를 탈취한 것인지는 밝혀지지 않았다.

■ 1억600만 캐피털원 고객 데이터 유출...개인·신용 정보 포함

캐피털원이 해킹 사실을 인지한 건 지난달 19일이다. 미국인 1억명, 캐나다인 600만명의 개인정보가 지난 3월 유출된 것으로 확인했다.

캐피털원에 따르면 지난 2005년부터 올해 초까지 신용카드를 신청한 고객의 이름과 주소, 전화번호, 생년월일, 신용 점수, 예금 잔액 등이 유출됐다. 그 외 2016~2018년 중 23일간에 해당하는 거래 데이터, 캐나다인 100만명과 미국인 14만명의 사회보장번호, 8만개의 계좌번호도 유출 정보에 포함됐다. 해당 정보들에서 훼손된 흔적은 발견되지 않았다.