1만3000개 고객사의 침해가 뒤늦게 공시에 반영됐다

02 · 사건의 구조

무슨 일이 어떤 순서로 이어졌나

랜섬웨어 침입 뒤 공격자 설명을 검증하지 않은 채 범위를 축소 공시해 보안과 증권공시 통제가 함께 흔들린 사건이다.

1. 01

   1. 장기 침입

   공격자는 Blackbaud 시스템에 약 3개월 머물며 고객기관 데이터를 빼낸 뒤 랜섬웨어를 실행했다.

2. 02

   2. 금전지급과 진술

   회사는 공격자에게 대가를 지급하고 자료를 삭제했다는 확인을 받았지만 그 진술의 신뢰성과 탈취범위를 충분히 검증하지 않았다.

3. 03

   3. 통지·공시 축소

   초기 고객통지와 투자자 공시는 민감정보의 범위를 좁게 설명했고 내부 보안정보가 공시통제로 완전히 연결되지 않았다.

4. 04

   4. 이중 규제조치

   SEC는 2023년 공시통제를 제재했고 FTC는 2024년 보안프로그램·데이터삭제와 20년 준수의무를 명령했다.

사건 연표

1. 2020년 2월

   공격자가 Blackbaud 환경에 침입한다

2. 2020년 5월

   회사가 침입을 발견하고 공격자와 대응한다

3. 2020년 7월 16일

   고객에게 랜섬웨어 사고를 공개한다

4. 2023년 3월 9일

   SEC가 300만달러 제재를 발표한다

5. 2024년 5월 14일

   FTC가 데이터 삭제·보안명령을 최종화한다

왜 가능했나

랜섬웨어 대응에서 공격자의 '삭제했다'는 말은 독립 검증을 대신할 수 없다. 로그와 백업, 반출경로, 접근한 데이터 종류를 확인해야 통지범위를 정할 수 있다. 금전을 지급해 운영을 복구했더라도 이미 복사된 정보의 보유·재판매 가능성은 남는다. 공격자와 협상한 부서의 정보가 법무·공시 담당자에게 전달돼야 외부 설명도 바뀐다. 시스템 복구와 정보위험 종료는 같은 시점이 아니다.

보안팀이 가진 사실은 투자자 공시와 고객통지에 같은 정확도로 전달돼야 한다. SEC의 300만달러는 공시통제 제재이고 FTC의 20년은 보안프로그램 준수기간이다. 두 조치를 하나의 벌금이나 사고기간으로 합치면 안 된다. 1만3,000곳도 영향 조직 수이므로 개인 피해자 수를 계산하는 분모로 사용할 수 없다.