내셔널퍼블릭데이터(NPD) 29억 건 개인정보 유출·파산 사태

2024년 4월 해커로 알려진 'USDoD'가 해킹 포럼 브리치포럼스에 미국인 개인정보 약 29억 건(레코드)를 판매한다는 게시글을 올렸다. 유출을 주장한 데이터에는 이름·현재와 과거 주소·사회보장번호·생년월일·전화번호 등 신원 도용에 직접 악용될 수 있는 민감 정보가 포함돼 있었다. 데이터의 출처는 배경조회 서비스를 제공하는 업체 내셔널퍼블릭데이터(NPD)로 지목됐으며, 실제 침해 자체는 2023년 말부터 이미 이뤄졌을 가능성이 제기됐다. 이 시점까지 NPD는 침해 사실을 공개적으로 인정하지 않은 상태였다. 훗날 이 사건은 미국 역사상 최대 규모의 개인정보 유출 중 하나로 평가받게 된다.

2024년 8월 앞서 판매가 시도됐던 대규모 데이터 중 상당 부분이 인터넷에 무료로 공개되면서 유출 사실이 사실상 공식화됐다. 정보보안 업계와 언론의 광범위한 검증 보도가 잇따르면서 파장은 급속히 커졌고, 미국 전역의 개인들이 자신의 사회보장번호를 포함한 민감 정보 노출 여부를 확인하려는 문의가 폭증했다. NPD의 모회사인 제리코픽처스는 이 시점에 이르러서야 침해 사실을 공개적으로 인정하고 피해자 통지 절차에 착수했다. 회사 측은 침해 경위나 정확한 피해 규모에 대해서는 구체적인 설명을 내놓지 못했다. 이 사건은 데이터 브로커 산업 전반의 허술한 보안 관행에 대한 비판으로 이어졌다.

유출 사실이 확인된 직후인 2024년 8월부터 미국 남부플로리다 연방지방법원에 NPD를 상대로 한 집단소송이 잇따라 제기돼 이후 약 20건이 하나로 병합됐다. 이와 별도로 연방거래위원회(FTC)가 조사에 착수했으며, 20개가 넘는 주의 법무장관들도 민사 제재를 위한 별도 조치에 나섰다. 원고들은 NPD가 최소한의 보안 조치도 갖추지 않은 채 수십억 건의 민감한 개인정보를 수집·보관했다고 주장했다. 이는 단일 데이터 브로커 업체를 상대로 한 미국 역사상 가장 광범위한 법적 대응 중 하나로 꼽힌다. 소송과 규제 조사가 동시다발적으로 진행되면서 회사는 존립 자체를 위협받는 상황에 놓였다.

NPD의 모회사인 제리코픽처스는 2024년 10월 2일 연방파산법 11조에 따른 파산보호를 신청했다. 신청서에는 회사의 추정 자산이 2만5000~7만5000달러 수준에 불과하다고 기재돼, 회사가 이미 사실상 껍데기만 남은 상태였음을 보여줬다. 회사 측은 파산 신청 사유로 대규모 유출 사고에 따른 소송 비용과 평판 손실을 명시적으로 언급했다. 이는 데이터 유출이 기업의 존속 자체를 무너뜨릴 수 있음을 보여준 상징적인 사례로 받아들여졌다. 다만 이 파산 신청은 이후 몇 주 만에 절차상의 이유로 기각됐다.

2024년 12월 내셔널퍼블릭데이터는 사실상 완전히 폐업했으며, 회사 웹사이트에는 서비스 종료를 알리는 짧은 폐쇄 공지만 남게 됐다. 미국 역사상 최대 규모로 꼽히는 개인정보 유출 사고를 낸 지 불과 몇 달 만에 회사가 통째로 사라진 것이다. 그러나 회사가 사라졌다고 해서 이미 유출된 29억 건의 개인정보가 인터넷에서 사라지는 것은 아니었으며, 피해자들의 신원 도용 위험은 계속 남게 됐다. 진행 중이던 다수의 집단소송과 규제 조사도 회사의 폐업과 무관하게 계속 이어졌다. 이 사건은 데이터 브로커 업체에 대한 규제 공백 문제를 다시 부각시키는 계기가 됐다.

2026년 초 기준으로 NPD 유출 피해자들에 대한 집단소송 배상금 지급 일정은 여전히 확정되지 않은 상태다. 병합된 민사소송은 관련 파산 절차와 맞물려 진행되고 있으며, 법조계 추산으로는 실제 배상금 지급이 이르면 2026년 하반기에나 가능할 것으로 전망된다. 피해 규모가 29억 건에 달하는 만큼 배상 절차의 행정적 복잡성도 지연의 한 원인으로 꼽힌다. FTC와 각 주 법무장관실의 조사 역시 아직 결론이 나지 않은 상태로 남아 있다. 이 사건은 2년 가까이 지난 현재까지도 완전히 종결되지 않은 미국 최대 규모 개인정보 유출 사고의 대표 사례로 남아 있다.