1500만 고객의 정보보호 통제가 장치 폐기에서 빠졌다

02 · 사건의 구조

무슨 일이 어떤 순서로 이어졌나

금융회사의 장비 폐기가 저장정보 확인, 암호화, 공급업체 추적과 삭제증명까지 이어져야 함을 보여준 사건이다.

1. 01

   1. 장비 외주 폐기

   증권사는 데이터센터 서버와 저장장치를 외부 폐기업체에 맡기면서 고객정보가 남았는지와 암호화 상태를 확인할 책임이 있었다.

2. 02

   2. 추적·삭제 단절

   공급업체 선정과 감독, 장비목록 대조가 충분하지 않아 일부 장치가 재판매되고 42대 서버의 위치도 확인하지 못했다.

3. 03

   3. 모집단 재확인

   SEC는 약 1,500만 고객을 관련 보호통제의 적용 범위로 설명했다. 실제 정보 악용 피해자 수로 확정한 것은 아니다.

4. 04

   4. 규정위반 제재

   2022년 SEC는 Regulation S-P 위반에 대해 3,500만달러 합의를 확정하고 장치폐기 통제의 책임을 회사에 물었다.

사건 연표

1. 2016년

   회사가 데이터센터 장비 퇴역을 외주업체에 맡긴다

2. 2019년

   지점 장치 폐기 과정에서 일부 장치가 온라인 경매로 나온다

3. 2020년 7월

   회사가 고객에게 데이터 노출 가능성을 통지한다

4. 2020년 10월 8일

   OCC가 별도 은행부문 통제 실패에 6000만달러를 부과한다

5. 2022년 9월 20일

   SEC가 자산관리부문에 3500만달러 제재를 부과한다

왜 가능했나

저장장치가 회사 건물 밖으로 나가도 고객정보 보호의무는 이어진다. 자산번호와 저장매체를 일대일로 대조하고 암호화 여부, 물리적 파기와 삭제증명을 확인하는 절차가 공급망 유출을 막는다. 폐기업체가 다시 하도급을 주는 경우까지 추적하지 않으면 장비가 재판매돼도 원회사가 알기 어렵다. 외주계약은 작업을 맡기는 수단일 뿐 규제상 책임까지 이전하지 않는다.

이 사건의 가장 큰 숫자인 1,500만명은 피해 확정치가 아니다. SEC는 통제 실패의 영향을 받을 수 있었던 고객정보 모집단을 설명했으며 실제 접근·악용 여부는 별도 사실이다. 42대 서버도 정보가 모두 유출된 장치 수로 읽을 수 없다. 장치별 암호화와 데이터 잔존 여부가 달라질 수 있기 때문이다. 모집단, 분실장비, 위반기간과 제재금을 나누어야 과장 없는 위험평가가 된다.