- 미국 영향인원
- 1억명 Capital One이 공지한 미국 내 신청자·고객
- 캐나다 영향인원
- 600만명 캐나다 내 영향 추정 인원
- OCC 제재금
- 8,000만달러 클라우드 위험관리 관련 민사제재
- 피고인 형
- 5년 보호관찰 Paige Thompson 형사사건 선고
01 · 핵심 요약
클라우드를 사용해도 고객정보 보호책임까지 외주화되지는 않는다. 캐피털원 사건은 설정권한과 로그를 은행의 지속 검증대상이라는 감독 쟁점을 남겼다.
2019년 공격자는 캐피털원의 클라우드 방화벽 설정과 권한경로를 이용해 미국 약 1억명, 캐나다 약 600만명의 신청자료를 반출했다. 외부 클라우드를 썼어도 위험평가·접근통제·변경관리는 은행이 지속적으로 검증해야 할 책임이었다. OCC는 2020년 이 통제 실패에 8,000만달러 행정제재를 부과했고, 법원은 2022년 개인 피고인에게 5년 보호관찰을 선고했다. 감독제재·형사책임·별도 민사합의의 대상과 구제범위가 다르므로 영향인원을 금전피해자 수로, 제재금을 고객 배상액으로 바꿔 읽을 수 없다.
미 법무부 형사사건 자료는 미국 영향인원을 1억명, 캐나다 영향인원을 600만명으로 제시했다. OCC는 2020년 8월 6일 클라우드 위험관리와 내부통제 미흡에 8,000만달러의 민사제재를 부과했다. 미 법무부는 공격자 Paige Thompson에게 2022년 10월 4일 5년의 보호관찰이 선고됐다고 밝혔다. 영향인원은 개인정보 노출 모집단, 8,000만달러는 은행 제재금, 5년은 개인의 형사선고이므로 서로 귀속이 다르다. 국가별 영향인원과 공격자 선고는 미 법무부 자료, 은행 제재는 OCC의 명령이 각각 확인하므로 발행기관을 섞지 않는다. 미국과 캐나다 인원은 신청자·기존 고객을 포함한 영향 추정치다. 사회보장번호·은행계좌정보 등 노출 항목은 사람마다 달랐으므로 1억600만명 전원이 같은 종류의 정보를 잃었다고 볼 수도 없다.
02 · 사건의 구조
무슨 일이 어떤 순서로 이어졌나
클라우드 방화벽의 잘못된 설정과 과도한 접근권한이 한 저장소를 넘어 신용카드 신청정보 1억600만명분으로 번졌다.
- 01
1단계
공격자는 클라우드 방화벽을 거쳐 신용카드 신청자료 저장소의 과도한 접근권한을 획득했다.
- 02
2단계
대규모 개인정보가 복제되며 외부 클라우드 운영통제가 은행 정보보호 책임과 연결됐다.
- 03
3단계
OCC는 침해 자체뿐 아니라 이전부터의 위험평가·통제 미흡에 행정제재를 부과했다.
- 04
4단계
형사절차는 개인 행위자의 책임을, 감독제재는 은행의 시스템 거버넌스를 각각 다뤘다.
사건 연표
클라우드 설정취약점을 통해 자료가 반출된다
Capital One이 침해 사실을 확인한다
미 법무부가 용의자 체포를 발표한다
OCC가 8,000만달러 제재를 부과한다
법원이 피고인에게 5년 보호관찰을 선고한다
왜 가능했나
공격자는 클라우드 방화벽 설정과 권한경로를 이용해 신용카드 신청자료 저장소에 접근했다. 외부 서비스의 기술 설정이 대규모 정보 복제로 이어지면서 은행의 위험평가, 접근통제와 변경관리 책임이 문제 됐다. 취약한 접근경로가 한 저장소를 넘어 여러 신청연도의 신용정보에 닿도록 둔 데이터 경계도 피해범위를 키웠다.
OCC의 행정제재는 은행의 거버넌스를, 법무부의 형사사건은 개인 공격자의 행위를 다뤘다. 별도 민사합의는 피해구제 범위가 다시 다르다. 1억600만명은 금전피해자 수가 아니며, 8,000만달러도 고객에게 지급된 배상액이 아니다. 개인정보 노출 뒤의 신용감시·민사구제는 감독제재와 다른 절차여서 수혜자와 금액을 별도로 확인한다.
03 · 같은 일이 여기서 일어난다면
국내 금융회사가 클라우드를 이용할 때도 개인정보와 전자금융 통제의 책임주체는 국내 법과 실제 계약으로 정해진다.
- 01
미국의 OCC 제재는 캐피털원의 클라우드 위험관리 의무를 대상으로 했다. 한국에서는 개인정보 보호법, 신용정보법과 전자금융 관련 의무에 따라 금융회사와 수탁자의 역할을 구분한다. 클라우드 설정권한의 변경승인 기록도 핵심 증거다.
- 02
현대캐피탈 해킹·카드사 정보유출과 공통점은 대량 고객정보와 접근통제 실패다. 캐피털원은 클라우드 설정경로가 핵심이라는 점에서 사고 원인과 감독대상이 다르다. 유출정보의 종류와 재사용 위험도 사건별로 다르다.
- 03
미국 계정이나 관련 증권을 통한 간접 노출 가능성은 있지만 공식 문서는 한국 고객 피해를 확인하지 않았다. 설정권한, 로그감시, 침해통지와 신용정보 악용방지를 중심으로 비교한다. 국내 통지·분쟁조정의 대상자 여부도 따로 본다.
이 사건은 1억600만명의 정보 노출과 은행 제재, 공격자 선고가 서로 다른 책임절차임을 보여준다. 국내에서도 클라우드 제공자와 금융회사 사이 통제권을 계약과 실제 운영기록으로 확인해야 한다. OCC 명령과 형사선고는 종결됐지만 개인정보 악용 가능성은 남아 있어 국내 비교에서도 사후 감시와 구제를 분리한다.
관할 주의 해외 감독당국의 제재·판결·예금보호·배상 절차는 한국에 자동 적용되지 않습니다. 국내 적용 여부는 계약 상대방, 계좌 소재지, 국내 인가와 한국 법령에 따라 별도로 판단해야 합니다.
04 · 근거 자료
판단을 다시 확인할 자료
사실관계 기준일은 2026.09.04입니다. 사건 규모의 숫자는 각 항목에 적힌 범위와 시점을 함께 읽어야 합니다.