AT&T 고객 통화기록 대규모 유출 사태(스노우플레이크 해킹)

AT&T는 2024년 4월 19일 위협 행위자가 자사 통화 기록에 접근해 이를 복사했다고 주장하면서 침해 사실을 처음 인지했다. 조사 결과 해커들은 4월 14일부터 25일 사이 AT&T가 이용하던 클라우드 데이터 플랫폼 스노우플레이크의 계정을 통해 불법적으로 데이터를 다운로드한 것으로 드러났다. 탈취된 파일에는 2022년 5월부터 10월 사이, 그리고 2023년 1월 2일의 고객 통화·문자 상호작용 기록이 포함돼 있었다. 이는 스노우플레이크 고객사를 겨냥한 대규모 해킹 캠페인의 일부로, AT&T 외에도 티켓마스터·산탄데르은행·어드밴스오토파츠 등 160여 개 기업이 함께 표적이 된 것으로 뒤늦게 밝혀졌다. 이 시점의 침해는 이후 공개될 피해 규모에 비춰볼 때 미국 통신 역사상 최대 규모 유출 중 하나로 기록된다.

AT&T는 2024년 7월 12일 이번 침해로 사실상 거의 모든 무선 고객, 약 1억900만~1억1000만 명의 통화 및 문자 상호작용 기록이 유출됐다고 공식 발표했다. 유출된 데이터는 통화 내용 자체가 아니라 어떤 번호와 얼마나 오래 통화·문자를 주고받았는지를 보여주는 메타데이터였으며, 일부 고객의 경우 대략적인 위치 추정이 가능한 기지국 식별 정보도 포함됐다. 이는 회사가 3월에 발표했던 별도의 데이터 침해에 이어 같은 해 두 번째로 공개한 대형 보안사고였다. 공개 직후 다수의 소비자와 주주들이 AT&T를 상대로 소송을 제기하기 시작했으며, 연방 의회 차원의 조사 요구도 잇따랐다. 이 발표는 통신사 한 곳의 유출로는 역대 최대 규모로 평가받으며 큰 파장을 일으켰다.

캐나다 당국은 2024년 11월 5일 온타리오주 키치너 거주자 코너 라일리 모카를 미국의 임시 체포영장에 근거해 체포했다고 발표했다. '와이푸', '주디쉬' 등의 별명을 쓴 모카는 스노우플레이크 고객사들을 겨냥한 해킹 캠페인의 핵심 배후로 지목됐다. 그는 훔친 로그인 자격 증명을 활용해 AT&T를 포함한 165개 이상의 기업 데이터를 빼낸 뒤 이를 미끼로 갈취를 시도한 혐의를 받았다. 캐나다 당국의 체포는 미국 검찰의 본격적인 형사 절차로 이어지는 신호탄이 됐다. 이 체포는 유출 사고가 발생한 지 약 7개월 만에 이뤄진 것으로, 장기간에 걸친 국제 공조 수사의 결과물이었다.

미국 법무부는 2024년 11월 12일 시애틀 연방법원에서 코너 모카와 존 에린 빈스를 컴퓨터 사기·사기 공모·전신사기·가중 신원도용 등 여러 혐의로 기소했다고 밝히며 관련 기소장을 공개했다. 검찰에 따르면 두 사람과 공범들은 최소 10개 피해 기업의 네트워크를 해킹해 통신사로부터만 약 500억 건에 달하는 통화·문자 기록을 훔친 것으로 파악됐다. 이들은 훔친 데이터를 미끼로 최소 36비트코인, 당시 시세로 약 250만 달러 상당의 금품을 갈취한 혐의도 받았다. 이번 기소는 스노우플레이크발 해킹 캠페인의 전모를 사법 절차를 통해 처음으로 구체적으로 드러낸 사건으로 평가된다. 튀르키예에 거주하는 것으로 알려진 빈스에 대해서는 별도의 신병 확보 절차가 필요했다.

텍사스 북부지방법원의 에이다 브라운 판사는 2025년 6월 20일 AT&T와 피해 고객들 간의 1억7700만 달러 규모 집단소송 합의안에 예비 승인을 내렸다. 합의금은 3월에 공개됐던 첫 번째 침해 관련 소송에 1억4900만 달러, 7월에 공개된 이번 스노우플레이크발 침해 관련 소송에 2800만 달러가 각각 배정됐다. 피해 고객들은 심사를 거쳐 최대 7500달러까지 배상을 받을 수 있는 것으로 알려졌다. 이 합의는 미국 전역에서 제기된 다수의 개별 소송이 하나의 다지구 소송으로 통합된 결과물이었다. 예비 승인 이후 신청 접수와 이의 제기 절차 등 후속 일정이 이어졌다.

법원은 2026년 1월 15일 1억7700만 달러 합의안에 대한 최종승인 심리를 열었으나, 브라운 판사는 이 자리에서 곧바로 최종 판결을 내리지 않고 결정을 보류했다. 앞서 2025년 12월 18일 마감된 신청 접수에는 약 438만 건의 청구가 제출된 것으로 집계됐다. 최종 승인이 미뤄지면서 피해 고객들에 대한 실제 배상금 지급도 함께 지연되는 상황이 이어졌다. 소비자 보호 단체들은 대규모 신청 건수 자체가 이번 유출 사고의 피해 범위를 다시 한번 보여준다고 지적했다. 2026년 9월 현재까지도 최종 판결은 나오지 않은 상태로, 민사 절차는 여전히 진행 중이다.

코너 라일리 모카는 2026년 8월 6일 워싱턴주 연방법원에서 컴퓨터 사기, 전신사기, 가중 신원도용, 공모 등 혐의에 대해 유죄를 인정했다. 검찰에 따르면 그는 165개 이상의 스노우플레이크 고객사에서 데이터를 훔쳐 공범들과 함께 250만 달러 이상의 갈취금을 챙겼으며, AT&T 한 곳에서만 1억 명 이상의 고객 통화·문자 기록과 은행 정보, 운전면허번호, 사회보장번호 등을 빼낸 것으로 파악됐다. 검찰은 피해 기업들이 입은 실제 손실이 갈취금과 대응 비용을 합쳐 950만 달러가 넘는다고 밝혔다. 모카는 최대 32년의 징역형을 선고받을 수 있으며, 선고 공판은 2026년 10월 27일로 예정돼 있다. 이번 유죄 인정으로 2024년 촉발된 스노우플레이크발 대규모 해킹 사태의 형사 책임 규명이 사실상 마무리 단계에 접어들었다.