런던 교통청, 2024 해킹으로 1000 만인 정보 유출 규모 인정

런던 지하철과 버스, 택시의 주요 운영 기관인 TfL(Transport for London) 가 2024 년 발생한 대규모 사이버 보안 공격 피해 규모를 사실상 공식적으로 인정했습니다. 이 기관은 처음에는 피해 규모가 일부 고객에 국한되었다고 밝혔으나, 최근 영국 공영방송 BBC 와 관련 보고서 등을 통해 피해가 예상보다 훨씬 크다는 사실을 인정하게 되었습니다. 특히 유출된 개인 정보의 범주가 매우 광범위해 일반 대중에게 경각심을 불러일으키고 있습니다.

먼저 유출된 데이터의 종류는 매우 민감합니다. 사용자의 이름, 이메일 주소, 집전화 번호, 휴대전화 번호, 그리고 실제 주소가 포함되어 있었습니다. 이러한 정보는 단독으로만 봤을 때는 단순한 개인정보처럼 보일 수 있지만, 실제로는 신원 도용, 사기 전화 수신 등 심각한 범죄 수단에 악용될 가능성이 높습니다. 또한, 이 사고로 인해 TfL 시스템이 마비되는 등 2024 년 8 월 공격 이후 시스템에 중대한 문제가 발생했던 사실이 밝혀졌습니다. 영국 정보 보호 당국인 ICO 에서 TfL 의 정보 처리 절차를 문제없다고 판단하여 잘못 없다고 판명했음에도, 실제 데이터 손실 규모는 막대했습니다.

사고의 진상 규명 과정에서 밝혀진 또 하나의 중요한 사실은 피해 통보의 미흡함이었습니다. TfL 는 피해로 인해 이메일로 통보서를 발송했지만, 실제 메일을 열람한 비율은 58% 에 그쳤습니다. 이는 나머지 대략 절반에 달하는 피해들이 피해를 전혀 인지하지 못했음을 의미합니다. 또한, 이메일 주소가 등록되지 않은 사용자들은 아예 연락을 받지 못했을 가능성이 큽니다. 이러한 상황은 범죄자들이 유출된 데이터를 언제, 어떻게 사용할지 알 수 없음을 시사하며, 사용자들이 더 많은 피해를 볼 수 있음을 경고합니다.

경제적 피해 규모도 상당했습니다. TfL 는 이번 사고 대응과 해결을 위해 약 3 천 900 만 파운드 상당의 손실을 입었고, 이는 외부 보안 지원 조직에 3 천만 파운드 상당을 지출하여 대응했습니다. 두 명의 영국 소년이 범행 혐의로 기소되어 향후 6 월에 재판을 받기 전으로 알려졌습니다. 전문가들은 가장 놀라운 점은 피해 규모가 사고 발생 직후가 아닌 수년 후에야 비로소 드러났다는 점입니다. 데이터는 한번 유출되면 바로 삭제되지 않고 오랫동안 유출자의 손에 쥐어집니다.

ESET 의 글로벌 사이버 보안 자문관인 재이크 무어 는 유출된 데이터가 약 1000 만 개인이 포함됨으로써 범죄자들에게 무보석의 자원이라는 점을 지적했습니다. 만약 이 정보가 다른 노출된 데이터와 결합되면 사기 범죄에 재사용될 수 있을 정도입니다. 따라서 TfL 계정과 연결된 결제 정보를 가진 사용자는 은행 계좌 내역을 계속 주의 깊게 확인해야 합니다. 또한, 예상치 못한 메시지가 오지 않도록 주의해야 하며, 최선의 방어 수단인 안티바이러스 프로그램의 중요성을 강조했습니다. 이번 사고는 전 세계 사용자들에게 개인정보 보호의 중요성을 다시 한 번 일깨우는 계기가 되었으며, 더 이상 방치하지 않고 적극적으로 방어에 나서야 할 시점이 도래했습니다.

이 글은 Latest from TechRadar의 기사를 바탕으로 작성되었습니다.