에퀴팩스 1억 4700만 명 개인정보 대량 유출 사건

미국 3대 신용평가사 중 하나인 에퀴팩스는 3월 7일 공개된 아파치 스트럿츠 웹 프레임워크의 치명적 보안 패치를 적용하지 않은 채 방치했고, 해커들은 5월 12일부터 이 취약점을 악용해 채무 분쟁 웹사이트를 통해 내부 시스템에 침투했다. 보안 전문가들은 이미 3월 10일부터 패치되지 않은 시스템을 노리는 스캐닝 정황을 포착했지만 에퀴팩스는 별다른 조치를 취하지 않았다. 해커들은 이후 두 달 넘게 시스템 내부에 머무르며 데이터베이스에 조용히 접근했다. 이 장기간의 미탐지 상태는 이후 에퀴팩스의 보안 관리 체계 전반에 대한 신뢰를 크게 무너뜨리는 계기가 됐다. 규제당국은 이 침입 시점을 사건의 공식적인 출발점으로 규정했다.

에퀴팩스는 7월 29일 무려 9개월간 갱신하지 않고 방치했던 SSL 인증서를 뒤늦게 업데이트하는 과정에서 비정상적인 네트워크 트래픽을 발견하며 침입 사실을 처음으로 인지했다. 다음 날인 7월 30일 회사는 해당 취약점을 통한 접근 경로를 차단했지만, 이미 두 달 반 가까이 데이터가 빠져나간 뒤였다. 보안 인증서 관리 소홀이라는 기초적인 실수가 대규모 유출을 장기간 방치한 핵심 원인 중 하나로 지목됐다. 이 발견 이후에도 에퀴팩스는 공식 발표까지 40일 가까운 시간을 끌어 늑장 대응이라는 비판을 자초했다. 내부적으로는 피해 규모를 파악하기 위한 포렌식 조사가 즉시 시작됐다.

침입 사실을 인지한 지 나흘 뒤인 8월 2일, 최고재무책임자 존 갬블을 포함한 임원 3명이 회사 주식 약 180만 달러어치를 매도한 사실이 뒤늦게 드러나면서 내부거래 의혹이 불거졌다. 이들은 유출 사실이 일반에 공개되기 5주 전에 미리 주식을 처분한 셈이어서 법무부가 별도의 내부자거래 수사에 착수했다. 회사 측은 해당 임원들이 매도 당시 유출 사실을 알지 못했다고 해명했지만, 여론은 이를 그대로 받아들이지 않았다. 이 논란은 이후 에퀴팩스 경영진의 도덕적 해이 문제로 비화하며 청문회에서도 핵심 쟁점으로 다뤄졌다. 투자자 신뢰는 이 시점부터 급격히 흔들리기 시작했다.

에퀴팩스는 9월 7일 공식 성명을 통해 미국인 최대 1억 4300만 명의 이름, 사회보장번호, 생년월일, 주소, 운전면허번호가 유출됐다고 발표했다. 이후 조사가 확대되며 피해자는 1억 4700만 명으로 늘었고, 영국인 1520만 명과 캐나다인 1만 9000여 명의 정보도 함께 노출된 것으로 확인됐다. 신용카드 번호가 노출된 미국 소비자도 20만 9000명에 달했다. 미국 인구의 40%가 넘는 사람들의 가장 민감한 금융 신원정보가 통째로 유출된 사상 초유의 사건으로 기록되며 전 세계적인 공분을 샀다. 발표 직후 에퀴팩스 주가는 폭락했고 소비자들의 신용동결 신청이 폭주했다.

여론의 압박이 거세지자 에퀴팩스는 9월 15일 최고정보책임자(CIO)와 최고보안책임자(CSO)의 즉각적인 퇴진을 발표했다. 두 임원은 회사의 보안 시스템 관리와 취약점 패치 프로세스를 총괄하던 최고위 책임자들로, 이들의 동시 경질은 사실상 경영 실패에 대한 책임 규명의 시작이었다. 그러나 비판 여론은 여기서 그치지 않고 최종 책임자인 최고경영자를 향했다. 회사 이사회는 외부 사이버보안 전문가 영입 등 조직 개편에 착수했다. 이 조치는 이후 이어진 CEO 사퇴로 가는 전주곡이 됐다.

리처드 스미스 최고경영자는 9월 26일 결국 자리에서 물러났으며, 이후 미 의회 여러 위원회 청문회에 잇따라 출석해 3월 취약점 패치를 놓친 경위와 늑장 대응에 대해 해명해야 했다. 스미스는 청문회에서 패치 적용 실패가 단일 직원의 실수 때문이라고 주장했지만 의원들의 거센 질타를 받았다. 엘리자베스 워런 상원의원 등은 이후 소비자금융보호국(CFPB)이 에퀴팩스 조사를 사실상 중단시켰다는 내용의 비판 보고서를 발표하며 규제 실패 문제까지 제기했다. 이 사건은 미국 정치권에서 개인정보 보호 입법 논의를 촉발하는 계기가 됐다. 스미스는 다만 퇴직금 없이 무보수 자문역으로만 남는 조건에 합의했다.

에퀴팩스는 7월 22일 연방거래위원회(FTC), 소비자금융보호국, 주정부들과 최대 5억 7500만 달러 규모의 배상 합의에 도달했다. 합의금 중 3억 달러는 피해자 보상 기금으로, 1억 7500만 달러는 주정부에, 1억 달러는 CFPB에 벌금으로 배정됐다. 이는 당시 기준으로 미국 역사상 데이터 유출 사건에 부과된 최대 규모의 제재금이었다. 영국 금융감독청(FCA)도 별도로 약 1116만 파운드의 과징금을 부과하며 국제적으로도 책임을 물었다. 이 합의는 피해자들이 최대 20달러의 현금 보상 또는 무료 신용 모니터링 서비스를 선택할 수 있도록 하는 내용을 담았다.

미국 법무부는 2020년 2월 10일 에퀴팩스 해킹의 배후로 중국 인민해방군 소속 해커 4명을 컴퓨터 사기, 경제 스파이, 전신 사기 등 혐의로 기소했다고 발표했다. 이는 국가 배후 해킹 조직이 민간 신용정보 회사를 표적으로 삼은 대표적 사례로 평가되며 미중 사이버 갈등의 상징적 사건이 됐다. 중국 정부는 관련 의혹을 전면 부인했으며, 피의자들은 중국 내에 있어 신병 확보로 이어지지는 못했다. 2021년까지도 유출된 데이터가 암시장에서 거래된 정황은 발견되지 않아, 정보기관들은 이번 해킹이 금전적 목적이 아닌 국가 차원의 정보 수집 활동이었을 가능성에 무게를 뒀다. 이 사건은 개인정보 유출이 안보 문제로 직결될 수 있음을 보여준 사례로 남았다.