하트랜드 페이먼트 시스템즈 1억 3천만 카드 정보 유출 사태(2008)

하트랜드 페이먼트 시스템즈는 미국 뉴저지 프린스턴에 본사를 둔 카드 결제 처리업체다. 이 회사는 2008년 중 자사 결제 처리 시스템이 침해당했다고 나중에 공개했다. 조사 결과 키로거 계열의 악성 소프트웨어가 네트워크를 지나는 카드 데이터를 가로챈 것으로 확인됐다. 침해는 비자와 마스터카드가 카드 거래에서 의심스러운 활동을 발견해 회사에 알리면서 밝혀졌다. 회사는 외부 포렌식 업체를 불러 조사해 악성 코드를 찾아냈다.

하트랜드는 2009년 1월 20일 2008년 중 처리 시스템이 보안 침해를 당했다고 발표했다. 로버트 볼드윈 사장 겸 CFO는 지난주 침입 증거를 발견해 즉시 연방 수사당국과 카드 브랜드에 알렸다고 밝혔다. 회사는 가맹점 데이터와 카드 소지자의 사회보장번호, 비암호화 PIN, 주소, 전화번호는 포함되지 않았다고 설명했다. 유출된 것은 카드 뒷면 마그네틱 띠에 담긴 디지털 정보였다. 수천만 장의 카드가 위험에 처할 수 있다는 보도가 나왔고, 한 추정에 따르면 1억 장, 금융기관 650곳 이상이 영향을 받았다.

2009년 5월 1일 비자와 하트랜드는 하트랜드가 PCI DSS 준수 검증을 성공적으로 마치고 비자의 PCI DSS 검증 서비스 제공업체 명단에 복귀했다고 공동 성명을 냈다. 침해 공개 이후 하트랜드는 카드 브랜드의 검증 명단에서 빠져 있었다. 결제 처리업체에 이 명단은 사업의 전제 조건에 가깝다. 복귀는 회사가 보안 체계를 재정비했다는 신호로 받아들여졌다. 그러나 침해로 인한 소송과 합의 비용은 이후에도 이어졌다.

미국 검찰은 2009년 8월 17일 마이애미에 사는 28세 알버트 곤살레스를 하트랜드, 해너포드 브러더스, 세븐일레븐 등을 노린 해킹 혐의로 기소했다고 공개했다. 그는 러시아 출신으로 알려진 공범 두 명과 함께 기소됐다. 하트랜드와 해너포드에서만 1억 3,000만 개가 넘는 신용·직불카드 번호가 도난된 것으로 당국은 봤다. 당국은 이를 미국에서 기소된 역대 최대 카드 정보 침해·신원 도용 사건으로 규정했다. 곤살레스는 앞서 TJX 해킹에도 연루된 인물이었다.

곤살레스는 2010년 3월 25일 패티 사리스 연방판사로부터 하트랜드·TJX 관련 사건에서 징역 20년 1일을 선고받았다. 다음 날인 26일에는 더글러스 우드록 판사가 다른 사건에서도 20년 1일을 선고했다. 두 형은 동시에 집행되는 것으로 전해졌다. 공범들에게도 5년 형 등이 선고됐다. 그는 하트랜드 해킹의 주범으로 지목됐다.

하트랜드는 2010년 5월 마스터카드와 4,140만 달러에 합의했다고 발표했다. 이로써 하트랜드가 침해 관련으로 지불하기로 한 합의금 등 총액은 약 1억 4,000만 달러에 달했다. IEEE Spectrum은 이 금액이 같은 일당이 일으킨 2006년 TJX 사건 비용의 절반을 조금 넘는 수준이라고 전했다. 피해 카드 수가 1억 3,000만 개가 넘는 점을 감안하면 건당 부담은 상대적으로 작았다. 이 사건은 결제 처리업체의 보안 책임이 법적·금전적으로 현실화한 사례로 남았다.