우버 2016년 데이터 유출 은폐 사건과 최고보안책임자 유죄판결

2016년 10월경 해커 브랜던 글로버와 바실레 메레아크레는 도난된 인증정보를 이용해 우버가 깃허브에 남겨둔 아마존 S3 클라우드 저장소에 접근했다. 이들은 전 세계 우버 이용자 약 5700만 명의 이름, 이메일, 전화번호와 함께 우버 운전기사 약 60만7000명의 운전면허번호까지 대량으로 내려받았다. 우버는 당시 최고보안책임자(CSO) 조 설리번이 이끄는 보안팀을 통해 해커들의 협박성 연락을 받았다. 이는 2014년에도 유사한 데이터 유출을 겪은 우버에 두 번째로 발생한 대규모 침해였으며, 마침 FTC가 2014년 사건을 이미 조사 중이던 시점에 발생해 파장이 더 컸다. 이 침해 사실은 이후 1년 넘게 외부에 전혀 알려지지 않았다.

공교롭게도 우버는 2016년 11월 4일 별도의 2014년 데이터 유출 사건에 대한 FTC 조사에 대응해, 조 설리번이 우버가 이용자 데이터 보호를 위해 충분한 조치를 취했다고 선서 진술했다. 그러나 이 진술이 이뤄진 시점을 전후해 새로운 대규모 침해가 이미 발생했거나 진행 중이었던 것으로 나중에 드러났다. 검찰은 설리번이 진행 중인 FTC 조사 절차를 방해할 목적으로 새로운 침해 사실을 의도적으로 숨겼다고 판단했다. 이 진술은 이후 설리번에 대한 'FTC 절차방해' 혐의의 핵심 증거로 제시됐다. 우버는 이 시기 이미 FTC와 개인정보 보호 관련 동의명령 체결을 협상 중이었다.

조 설리번 최고보안책임자는 이 침해를 FTC나 이용자에게 알리는 대신, 해커들에게 10만달러를 정상적인 버그바운티 포상금처럼 위장해 비트코인으로 지급하기로 결정했다. 우버 측은 해커들에게 침해 사실을 발설하지 않겠다는 비밀유지계약(NDA)에 서명하게 하고, 탈취한 데이터를 모두 삭제했다는 허위 확인서까지 받아냈다. 설리번은 이 계획을 실행하면서 우버의 정식 버그바운티 프로그램인 해커원(HackerOne)을 통해 지급을 처리해 정상적인 보안 취약점 신고 보상처럼 보이도록 위장했다. 그러나 해커들은 이미 훔친 데이터로 다른 회사도 협박한 전력이 있는 것으로 드러났으며, 이후 미국에서 별도 해킹 혐의로 기소돼 유죄를 인정했다. 이 사건은 이후 미 법무부가 설리번을 증거 은폐로 기소하는 핵심 근거가 됐다.

2017년 8월 새로 취임한 다라 코스로샤히 최고경영자(CEO)는 내부 감사 과정에서 2016년 침해 은폐 정황을 발견하고 즉각 조사에 착수했다. 우버는 2017년 11월 21일 공식 성명을 통해 2016년 10월 5700만 명 규모의 데이터 유출이 있었으며 이를 1년 넘게 숨겨왔다는 사실을 처음으로 공개했다. 코스로샤히는 같은 날 조 설리번 최고보안책임자와 담당 변호사 크레이그 클라크를 해임했다고 밝히며 이런 일이 일어나서는 안 됐다고 사과했다. 이 발표로 우버는 미국 각 주 검찰총장과 해외 규제당국의 전방위 조사 대상에 올랐으며, 기업공개(IPO)를 앞두고 신뢰도에 큰 타격을 입었다. 우버는 피해 운전자들에게 무료 신원도용 보호 서비스를 제공하겠다고 약속했다.

우버는 2018년 9월 26일 미국 50개주와 워싱턴DC 검찰이 제기한 데이터 유출 은폐 관련 조사에 대해 1억4800만달러를 지급하기로 합의했다고 발표했다. 이는 당시 기준 미국에서 발생한 데이터 유출 사건 관련 주 정부 합의금 중 최대 규모였다. 각 주 검찰총장들은 우버가 침해 사실을 늦게 공개하면서 주별 데이터침해 고지 의무를 위반했다고 지적했다. 합의에 따라 우버는 향후 유사한 침해 발생 시 신속하게 공개하고 정보보안 관행을 개선하며 정기적인 외부 감사를 받기로 약속했다. 이 합의금은 앞서 설리번이 해커에게 지급했던 10만달러의 1000배가 넘는 규모로, 은폐로 인한 대가가 훨씬 컸다는 점을 상징적으로 보여줬다.

미국 연방검찰은 2020년 8월 20일 조 설리번 전 우버 최고보안책임자를 FTC 절차 방해(obstruction of justice)와 중범죄 은닉(misprision of a felony) 혐의로 형사 기소했다고 발표했다. 이는 기업 최고보안책임자가 데이터 유출 은폐와 관련해 형사 기소된 미국 최초의 사례로 큰 주목을 받았다. 검찰은 설리번이 2016년 침해를 은폐하면서 진행 중이던 FTC의 2014년 사건 조사를 의도적으로 방해했다고 주장했다. 이 기소는 기업 보안 책임자들에게 침해 발생 시 반드시 규제당국과 피해자에게 투명하게 공개해야 한다는 강한 경고 메시지로 받아들여졌다. 설리번 측은 모든 결정이 당시 우버 경영진과 법무팀의 승인 하에 이뤄졌다고 반박하며 무죄를 주장했다.

2022년 10월 5일 미국 캘리포니아 북부지방법원 배심원단은 조 설리번 전 우버 최고보안책임자에게 FTC 절차 방해와 중범죄 은닉 혐의 모두에 대해 유죄 평결을 내렸다. 이는 기업 보안 임원이 데이터 유출 은폐로 형사 유죄판결을 받은 미국 최초의 사례로 기록되며 전 세계 보안업계에 충격을 안겼다. 검찰은 재판 과정에서 설리번이 해커들에게 지급한 10만달러를 정상적인 버그바운티로 위장하고, 이 사실을 최고경영진과 이사회에도 제대로 보고하지 않았다는 점을 입증했다. 배심원단은 설리번이 단순 실무 판단이 아니라 의도적 은폐를 했다고 결론지었다. 이 판결 이후 실리콘밸리 기업들은 최고보안책임자(CISO)의 법적 책임과 침해 보고 체계를 전면 재정비하기 시작했다.

2023년 5월 4일 미국 연방법원은 조 설리번에게 징역형 대신 집행유예 3년과 사회봉사 200시간, 벌금 5만달러를 선고했다. 검찰은 실형을 구형했지만 재판부는 설리번이 오랜 기간 보안업계에 기여한 공로와 이번 사건이 조직 차원의 의사결정 속에서 벌어진 측면을 감안해 비교적 관대한 처분을 내렸다. 설리번 측 변호인단은 판결에 대해 항소 의사를 밝히며, 유죄 평결 자체가 보안 전문가들의 정상적 위기 대응을 위축시킬 수 있다고 주장했다. 이 선고는 데이터 유출 은폐에 대한 형사처벌 수위를 둘러싼 논쟁에 불을 지폈다. 이후 여러 기업이 최고보안책임자의 법적 리스크를 우려해 침해 대응 프로세스에 사내 변호사와 이사회 보고 단계를 의무화하는 방향으로 정책을 바꿨다.

2025년 3월 13일 미국 제9순회항소법원은 조 설리번의 유죄 판결에 대한 항소를 만장일치로 기각하고 원심을 그대로 확정했다. 항소법원은 설리번이 FTC의 정식 조사 절차가 진행 중인 상황에서 새로운 침해 사실을 의도적으로 숨긴 행위가 명백한 증거인멸·방해에 해당한다고 판단했다. 이번 판결로 우버 데이터 유출 은폐 사건은 형사적으로 최종 마무리됐으며, 미국 내 기업 보안 책임자들의 법적 의무에 대한 대표 판례로 자리 잡았다. 사이버보안 전문가들은 이 사건이 침해 발생 시 '조용히 무마'하려는 유혹에 대한 강력한 경고가 됐다고 평가했다. 우버는 이 사건 이후 최고보안책임자 직속으로 별도의 침해 공시 컴플라이언스 조직을 신설해 재발 방지에 나섰다.