OAIC가 1,410만명 정보유출을 조사한다

02 · 사건의 구조

무슨 일이 어떤 순서로 이어졌나

소비자금융·개인정보의 권한·정보·돈이 통제선을 벗어나 손실과 집행으로 이어진 네 단계 구조다.

1. 01

   1. 진입

   Latitude는 소비자대출·신용신청 과정에서 운전면허·여권·연락처 등 신원확인 자료를 여러 해 보관했다.

2. 02

   2. 통제 이탈

   공격자는 제3자 직원 인증정보를 이용해 시스템에 들어가 다른 자격증명을 확보하고 여러 데이터 저장소에서 기록을 빼냈다.

3. 03

   3. 손실 전파

   2023년 공개범위는 약 1,400만명, 운전면허 790만건 등으로 확대돼 현재 고객뿐 아니라 오래전 신청자의 재발급·사기 위험도 커졌다.

4. 04

   4. 집행·정리

   호주 OAIC와 뉴질랜드 개인정보 당국은 공동조사를 시작했고 대표 민원·민사절차와 별개로 기준일 현재 최종결정 전 상태다.

사건 연표

1. 2023년 3월 16일

   Latitude가 사이버침해를 처음 공시한다

2. 2023년 3월

   공격자가 직원 인증정보로 시스템에 접근한다

3. 2023년 3월 27일

   영향범위가 약 1,400만명으로 확대된다

4. 2023년 4월

   호주·뉴질랜드 당국이 공동조사를 연다

5. 2024년

   대표 민원과 규제절차가 병행된다

6. 2026년 9월 4일

   OAIC 등록부상 조사가 진행 중이다

왜 가능했나

신용신청에 필요한 강한 신원정보는 계약이 끝난 뒤에도 남으면 공격자에게 장기 인증수단이 된다. 회사는 시스템별 보존기간·접근권한·제3자 계정을 한꺼번에 줄이지 못했고 한 자격증명 침해가 여러 저장소 조회로 확장됐다. 최소수집과 삭제 통제가 사고규모를 좌우했다. 이 판단은 Joint Australia-New Zealand Investigation into Latitude이 기록한 영향 고객기록의 범위와 당시 통제문서를 함께 대조한 결과다.

1,410만명은 OAIC가 등록부에 적은 조사대상 개인 범위이고 790만 면허·5만3천 여권·610만 과거기록은 일부가 같은 사람에게 겹칠 수 있다. 이를 합산해 피해자 수를 만들지 않는다. 공동조사 착수는 법 위반 최종확정이나 배상판결이 아니다. Commissioner Initiated Investigations Register의 절차 범위를 기준으로 수치와 법적 효과를 제한했다.