Equifax 유출 — 맡긴 적 없는 정보가 털린 다음

맡긴 적 없는 정보를 쥔 회사

2017년 9월 7일, 미국 조지아주 애틀랜타에 본사를 둔 신용평가사 Equifax가 미국 소비자 약 1억 4,300만 명에게 잠재적으로 영향을 주는 사이버보안 사고가 있었다고 발표했습니다 (당사자 Equifax 발표). 신용평가사는 소비자에 관한 정보를 모아 신용점수와 상세한 보고서를 만들고, 그 보고서를 제3자에게 파는 회사입니다. 소비자는 이 회사들에 스스로 정보를 준 적이 없고, 수집에서 빠질 수도 없습니다 (하원 감독위 다수당 보고서). 미국에서 가장 큰 신용평가사는 Equifax·Experian·TransUnion 세 곳입니다 (미 회계감사원 보고서).

신용보고서에는 이름·생년월일·사회보장번호·전화번호·지금과 예전 주소가 들어갑니다. 이 보고서가 집을 빌릴 수 있는지, 차를 살 수 있는지, 주택 대출을 받을 수 있는지를 가릅니다 (상원 상설조사소위 보고서). 이런 정보는 그것만으로, 또는 다른 정보와 합쳐서 특정한 사람을 알아볼 수 있게 하는 개인정보입니다(「개인정보와 익명화 — 이름을 지워도 사람은 남는다」). 사회보장번호는 미국 정부가 시민과 일부 거주자에게 한 사람에 하나씩 매기는 번호로, 세금과 신용 거래에서 본인을 가리키는 데 쓰입니다. 하원 보고서는 이번 유출로 「나라 사회보장번호의 거의 절반이 더는 비밀이 아니다」라고 적었습니다 (하원 감독위 다수당 보고서).

침입당한 시스템은 Equifax의 「온라인 이의제기 포털」이었습니다. 신용보고서에 잘못된 내용이 있으면 소비자가 서류를 올려 바로잡아 달라고 요청하는 웹 서비스입니다 (미 회계감사원 보고서). 하원 보고서에 따르면 이 포털은 1970년대에 만든 맞춤형 시스템으로, 오래된 환경에서 돌고 있었습니다 (하원 감독위 다수당 보고서).

이 사건은 여러 공문서가 따로 기록했습니다. 하원 감독·정부개혁위원회의 보고서(2018년 12월)는 다수당 쪽 직원이 쓴 직원 보고서라고 표지에 밝혀 두었습니다(당시 다수당은 공화당). 미국 회계감사원(GAO)은 의회 산하 감사기관으로 2018년 8월에 보고서를 냈는데, 사건의 경과와 원인은 대부분 Equifax 관계자의 설명을 옮긴 것이고, Equifax의 보안 통제를 독립적으로 검증하지 않았다고 스스로 적었습니다 (미 회계감사원 보고서). 상원 상설조사소위원회도 직원 보고서(2019년 3월)를 냈습니다. 여기에 미국 연방거래위원회(FTC)의 2019년 합의 발표, 당사자인 Equifax가 2017년 9월에 낸 두 차례 발표, 미국 법무부의 2020년 기소 발표가 있습니다. 이 글은 미국에서 일어난 이 일을 미국의 이 문서들로 따라가고, 문장마다 어느 문서의 말인지 괄호에 밝힙니다.

이 글은 침입보다 그다음에 더 오래 머뭅니다. 털린 사람들은 무엇을 했나, 털린 정보로 누군가 피해자인 척하는 일이 늘어나나, 알리게 한 법은 효과가 있었나, 회사는 어떤 값을 치렀나. 이 물음들에는 연구가 있습니다.

3월 7일에 나온 패치

2017년 3월 7일, 웹 서비스를 만드는 데 쓰는 소프트웨어 부품 Apache Struts의 심각한 취약점(CVE-2017-5638)이 공개됐고, 고친 판도 함께 나왔습니다 (하원 감독위 다수당 보고서). 취약점은 공격자가 파고들어 만든 사람이 뜻하지 않은 일을 일으킬 수 있는 시스템의 약한 자리이고, 패치는 그런 취약점을 고쳐 다시 내보내는 수정본입니다(「보안 — 남이 못 보고, 몰래 바뀌지 않고, 필요할 때 열리는 것」). 미국 국립표준기술연구소(NIST)는 이 취약점에 가능한 최고 심각도인 10점을 매겼습니다. 상원 소위는 이 취약점을 악용하는 데 필요한 도구가 공개돼 있었고 쓰기 쉬워서, 숙련된 해커가 아니어도 기본적인 컴퓨터 실력만 있으면 쓸 수 있었다고 판단했습니다 (상원 상설조사소위 보고서). 부품 속 취약점의 패치가 왜 늦게 퍼지는지는 「Log4j 취약점 — 벽 속에 묻힌 부품은 누가 찾아내나」에서 다룹니다.

이튿날 미국 국토안보부 산하 US-CERT가 Equifax에 이 취약점을 경고했습니다. 3월 9일 Equifax의 위협·취약점 관리팀은 400명 넘는 사람에게 메일을 보내, 자기 시스템에서 Apache Struts를 쓰는 사람은 48시간 안에 패치하라고 지시했습니다 (하원 감독위 다수당 보고서). 3월 14일에는 침입 방지 장비에 이 취약점을 노린 시도를 막는 새 규칙을 넣었고, 상원 소위에 따르면 Equifax는 이로써 공격 시도를 알아보고 막을 수 있다고 믿었습니다 (상원 상설조사소위 보고서). 3월 15일 보안팀은 취약한 시스템을 찾으려 검사를 돌렸지만, 바깥에 드러난 시스템에서는 취약점을 찾지 못했습니다 (하원 감독위 다수당 보고서).

3월 10일의 일은 문서마다 다르게 적혀 있습니다. 하원 보고서는 보안업체 Mandiant의 브리핑을 근거로, 이날 Equifax 네트워크에 연결된 서버에서 공격자가 이 취약점을 악용한 첫 흔적이 나왔다고 적었습니다 (하원 감독위 다수당 보고서). 회계감사원 보고서는 Equifax의 설명을 옮겨, 신원 미상자들이 시스템을 훑어보다 포털 서버를 찾아 접근이 되는지 확인한 일로 적었습니다. 이때 가져간 데이터는 없었고, 5월에 시작된 침입은 별개의 사건이라는 것이 그 설명입니다 (미 회계감사원 보고서). 같은 날을 한 문서는 공격의 첫 흔적으로, 다른 문서는 데이터가 나가지 않은 사전 탐색으로 읽습니다.

패치는 3월에 나왔고 회사는 48시간 안에 적용하라는 지시도 내렸지만, 취약한 시스템을 찾아내지는 못했습니다.

76일, 그리고 꺼져 있던 감시 장비

하원 보고서에 따르면 2017년 5월 13일 공격자들이 이 취약점으로 포털에 들어왔고, 공격은 76일 이어졌습니다 (하원 감독위 다수당 보고서). 회계감사원 보고서도 발견되기까지 약 76일로 적었습니다 (미 회계감사원 보고서). 상원 소위는 공격자들이 들키지 않고 움직일 수 있던 기간을 78일로 적었습니다 (상원 상설조사소위 보고서). 76일과 78일이 왜 이틀 다른지는 어느 문서도 설명하지 않습니다.

공격자들은 포털에 딸린 데이터베이스 3개에서 멈추지 않았습니다. 다른 곳에서 찾은, 암호화되지 않은 아이디와 비밀번호로 포털과 상관없는 데이터베이스 48개까지 접근을 넓혔고, 조회를 약 9,000건 돌렸습니다 (미 회계감사원 보고서). 암호화는 열쇠를 가진 사람만 원래 내용으로 되돌릴 수 있게 정보를 바꾸는 일입니다(「암호화 — 내용은 잠가도 드나든 기록은 남는다」). 하원 보고서에 따르면 그 9,000건 가운데 암호화되지 않은 개인정보를 찾아낸 것이 265번이었고, 공격자들은 그 데이터를 Equifax 밖으로 옮겼지만 Equifax는 이를 알지 못했습니다 (하원 감독위 다수당 보고서).

데이터가 나가는 것을 보지 못한 까닭으로 하원 보고서가 드는 것은 감시 장비입니다. 포털의 네트워크 통신을 지켜보던 장비가 보안 인증서가 만료된 탓에 작동하지 않고 있었습니다 (하원 감독위 다수당 보고서). 인증서는 이 공개키가 이 사람의 것이라고 제3자가 서명해 준 문서입니다(「열쇠와 자물쇠 — 공개키는 왜 공개해도 안전한가」). 하원 보고서가 옮긴 2017년 1월의 내부 기록은 이미 「인증서가 없어 웹 공격을 보는 눈이 제한된다」고 적었습니다 (하원 감독위 다수당 보고서).

그 장비가 언제부터 꺼져 있었는지는 세 문서가 서로 다르게 적었습니다. 하원 보고서는 유출을 알아챌 때까지 19개월 동안 작동하지 않았다고 적었습니다 (하원 감독위 다수당 보고서). 회계감사원 보고서는 인증서가 침입보다 약 10개월 전에 만료됐다고 적었습니다 (미 회계감사원 보고서). 상원 소위는 인증서가 2016년 11월에 만료된 뒤 8개월 동안 갱신되지 않았다고 적었습니다 (상원 상설조사소위 보고서). 하원 보고서를 따르면 만료는 2016년 초 무렵, 다른 두 문서를 따르면 2016년 중후반이고, 세 문서만으로는 어느 쪽이 맞는지 가릴 수 없습니다. 다만 세 시점은 셋 다 침입이 시작된 2017년 5월 13일보다 앞섭니다. 어느 문서를 따르든, 침입이 시작될 때 그 장비의 인증서는 이미 만료돼 있었습니다.

7월 29일 밤 Equifax는 만료된 인증서를 갱신했고, 곧바로 수상한 통신이 보였습니다. 하원 보고서는 그 출발지를 중국의 IP 주소로 적었습니다 (하원 감독위 다수당 보고서). 상원 소위에 따르면 이날 밤의 갱신은 이 취약점과 상관없는 IT 관리 작업으로, 만료된 인증서 수십 개를 한꺼번에 바꾼 것이었습니다 (상원 상설조사소위 보고서). 침입을 드러낸 작업은 침입을 찾으려던 작업이 아니었습니다. Equifax의 설명으로는 7월 29일 보안팀이 수상한 통신을 보았고, 7월 30일 추가 활동을 보고 포털을 내렸습니다 (당사자 Equifax 발표). 하원 보고서에 따르면 포털을 내린 것으로 공격이 끝났습니다 (하원 감독위 다수당 보고서). 취약점 패치가 실제로 적용된 것은 8월 2일 다음 주로, 취약점이 공개된 지 거의 다섯 달 뒤였습니다 (상원 상설조사소위 보고서).

침입이 이어지는 동안 감시 장비는 꺼져 있었고, 침입을 드러낸 것은 다른 일로 바꾼 인증서였습니다.

6주 뒤의 발표와 바뀐 숫자

7월 31일 최고정보책임자(CIO)가 최고경영자(CEO) 리처드 스미스에게 사고를 보고했고, 8월 2일 Equifax는 보안업체 Mandiant에 침입 흔적을 거슬러 캐는 포렌식 조사를 맡기고 미국 연방수사국(FBI)에 연락했습니다 (하원 감독위 다수당 보고서). 9월 4일 Equifax와 Mandiant는 피해자 1억 4,300만 명의 명단을 완성했습니다 (하원 감독위 다수당 보고서).

사고 공개(breach disclosure)는 회사가 침입이나 유출이 있었다는 사실을 세상에 밝히는 일입니다. Equifax의 사고 공개는 9월 7일이었습니다. 무단 접근은 5월 중순부터 7월까지 있었고, 핵심 신용 데이터베이스에서는 무단 활동의 증거를 찾지 못했다는 것이 그날 Equifax의 설명이었습니다 (당사자 Equifax 발표). 상원 소위는 이 발표가 사고를 안 지 6주, 해커가 들어온 지 거의 4개월 만이었다고 비판했습니다. 같은 보고서가 옮긴 Equifax 관계자들의 설명은, 피해를 입은 사람을 한 명 한 명 다 확정한 뒤에 알리기로 했다는 것입니다 (상원 상설조사소위 보고서).

피해자 수는 그 뒤로도 바뀌었습니다. 10월 2일 Equifax는 공격자의 조회 하나가 데이터를 가져가지 않았다고 잘못 판단했던 것을 바로잡아, 1억 4,300만 명을 1억 4,550만 명으로 고쳤습니다. 2018년 3월 1일에는 이름과 운전면허 정보 일부가 털린 약 240만 명을 더 확인했는데, 그중 몇 명이 이미 센 1억 4,550만 명과 겹치는지는 2018년 8월까지도 정하지 못했습니다 (미 회계감사원 보고서). 하원 보고서는 240만 명을 더해 총 1억 4,800만 명, 미국 인구의 거의 절반이자 성인의 56%라고 적었습니다 (하원 감독위 다수당 보고서). 회계감사원 보고서의 기준으로 보면 이 1억 4,800만 명은 겹침을 확인하지 않은 합계입니다.

FTC 발표는 항목별로 적었습니다. 이름과 생년월일이 적어도 1억 4,700만 명, 사회보장번호가 1억 4,550만 명, 결제카드 번호와 유효기간이 20만 9천 명분입니다 (FTC 합의 발표). 미국 밖 피해자도 1백만 명 가까이 됐고, 기록 상당수가 불완전해서 모든 피해자가 모든 항목을 털린 것은 아니었습니다 (미 회계감사원 보고서).

피해자 수는 하나로 확정된 적이 없고, 사건 조사 문서들 사이에서 1억 4,300만에서 1억 4,800만까지 다릅니다.

같은 메일을 두고 갈린 원인

2017년 10월 3일 전 CEO 스미스는 의회에서 사람의 실수, 그리고 패치가 필요하다는 사실을 전달하지 못한 일을 유출의 근본 원인으로 들었습니다. 10월 2일 Equifax는 포털을 맡은 고위 임원 한 명을 Apache Struts 경보 메일을 「전달하지 않았다」는 이유로 해고했습니다 (하원 감독위 다수당 보고서). 하원 보고서는 그 임원이 메일을 전달하라는 지시를 받은 적이 없었고, 해고가 전 CEO의 의회 증언 전날이었다며 「홍보를 노린 이런 조치는 모든 사실에 비추어 부당해 보인다」고 적었습니다 (하원 감독위 다수당 보고서).

메일이 닿지 않은 이유를 문서들은 각기 다른 무게로 적었습니다. 회계감사원이 옮긴 Equifax 자신의 분석은 경보 메일의 수신자 명단이 오래돼서 패치를 설치할 책임자들에게 닿지 않았다고 적었습니다 (미 회계감사원 보고서). 상원 소위에 따르면 Equifax가 Apache Struts를 쓴다는 것을 아는 포털 개발자는 400명 명단에 없었고, 명단에 있던 그 개발자의 상사는 메일을 받고도 개발자나 그 팀에 전달하지 않았습니다. 또 Equifax에서는 소프트웨어 업체가 보내는 보안 알림을 개발자가 저마다 직접 구독해야 했습니다 (상원 상설조사소위 보고서). 상원 소위의 서술에는 전달하지 않은 사람과, 알림을 사람 하나하나의 구독에 맡긴 구조가 함께 들어 있습니다. FTC는 소장에서 보안팀이 48시간 안에 패치하라고 지시하고도 실제로 실행됐는지 확인하지 않았다고 주장합니다 (FTC 합의 발표).

원인의 무게중심도 문서마다 다릅니다. Equifax 자신의 분석은 식별·탐지·분리·데이터 관리의 네 갈래를 들었습니다. 데이터베이스끼리 칸막이가 없어 다른 데이터베이스로 넘어갈 수 있었고, 조회 횟수에 제한이 없어 정상 업무보다 훨씬 많은 약 9,000건을 돌릴 수 있었다는 것입니다. 회계감사원은 이 분석을 독립적으로 검증하지 않았다고 적었습니다 (미 회계감사원 보고서).

하원 보고서는 관리 구조를 원인으로 세웠습니다. IT 관리 구조에 책임과 권한의 선이 분명하지 않아 정책을 만드는 쪽과 실행하는 쪽 사이에 간극이 생겼고, 공격적인 인수 성장과 데이터 축적이 복잡하고 낡은 IT 환경을 낳았다는 것입니다 (하원 감독위 다수당 보고서). 2017년 7월 당시 회사에는 IT 자산과 그 위에서 도는 소프트웨어를 빠짐없이 적은 최신 목록이 없었고, 포털을 맡은 임원은 사고가 공개될 때까지 그 환경에서 Apache Struts가 돌고 있는 줄도 몰랐다고 진술했습니다. 인증서를 관리하는 절차도 없어 적어도 324개의 보안 인증서가 만료돼 있었고, 그중 79개는 핵심 업무 영역을 감시하는 장비의 것이었습니다 (하원 감독위 다수당 보고서). 하원 보고서는 「사이버보안 안일함의 문화」를 말하며, 알려진 심각한 취약점을 패치하지 않아 3월 8일 경보부터 7월 30일 포털 중단까지 145일 동안 위험에 노출됐다고 적었고, 이 유출이 「완전히 막을 수 있었다(entirely preventable)」고 결론지었습니다 (하원 감독위 다수당 보고서).

상원 소위는 더 오래된 방치를 봤습니다. 2015년 내부 패치 감사가 이미 기한을 넘기고도 패치되지 않은 취약점 8,500개 넘게를 찾아냈고, 패치가 실제로 설치됐는지 확인하지 않는 「명예 시스템」과 IT 자산 목록이 없다는 점을 지적했지만, 그 뒤로 감사는 다시 없었습니다 (상원 상설조사소위 보고서). 당시 CIO는 패치를 자기보다 「여섯 단계 아래의 하위 책임」이라 불렀습니다. 같은 경보를 받은 경쟁사 TransUnion과 Experian은 정확한 최신 IT 자산 목록을 갖고 있어 취약한 곳을 찾아 패치했고, 상원 소위가 본 범위에서 이 취약점을 노린 해커에게 공격받은 징후는 없었습니다. 상원 소위는 해커가 끼친 피해를 「줄일 수 있었다」고 표현했습니다 (상원 상설조사소위 보고서).

Equifax 안에서는 다른 목소리가 나왔습니다. 상원 소위가 면담한 전·현직 보안·IT 직원 대부분은 보안팀의 대응이 적절했다고 믿었고, 당시 CIO는 Equifax가 달리 할 수 있었던 일이 없다고 봤습니다 (상원 상설조사소위 보고서). FTC 위원장은 Equifax가 「유출을 막았을 수도 있는 기본 조치」를 하지 않았다고 말했습니다 (FTC 합의 발표).

「막을 수 있었나」에 대한 답의 강도는 문서마다 달라, 하원 보고서의 「완전히 막을 수 있었다」부터 FTC의 「막았을 수도 있다」, 상원 소위의 「피해를 줄일 수 있었다」, Equifax 직원 다수의 「대응은 적절했다」까지 걸쳐 있습니다. 의회의 두 보고서가 원인으로 세운 것은 관리 구조와 오래된 방치였고, 메일을 전달하지 않은 일은 그 구조 안의 한 장면으로 놓였습니다.

유출 소식을 들은 사람들

2017년 9월 7일 발표를 듣고 자기 정보가 털렸는지 확인하려던 미국인 한 사람을 따라가 봅니다. Equifax가 연 전용 웹사이트와 콜센터는 곧바로 마비됐고, 소비자들은 제때 자기 피해 여부를 알 수 없었습니다 (하원 감독위 다수당 보고서). 별도 주소에 차린 그 사이트는 수상해 보였고, Equifax의 공식 트위터 계정은 직원이 실수로 단어 순서를 뒤바꾼 주소를 올려 거의 2주 동안 사람들을 피싱 사이트로 안내했습니다 (하원 감독위 다수당 보고서). 피싱은 믿을 만한 곳에서 온 것처럼 꾸민 메시지로 비밀번호 같은 정보를 받아 내거나 해로운 링크·파일을 열게 하는 속임수입니다(「피싱과 사회공학 — 문을 부수는 대신 초인종을 누른다」). US-CERT는 이 유출을 이용한 피싱 사기를 소비자에게 경고했습니다 (하원 감독위 다수당 보고서).

Equifax는 모든 미국 소비자에게 1년 동안 무료로 신용 감시와 신원 도용 보험 등을 내놓았습니다 (당사자 Equifax 발표). 신원 도용(identity theft)은 남의 개인정보를 손에 넣은 사람이 그 사람인 척 이미 있는 카드나 계좌를 쓰거나, 새 계좌를 열거나, 그 이름으로 나라의 혜택이나 진료 같은 것을 받아 내는 일입니다. 신용 감시(credit monitoring)는 내 신용 기록에 새 계좌나 조회 같은 변화가 생기면 알려 주는 서비스입니다.

또 하나의 길은 신용 동결이었습니다. 신용 동결(credit freeze)은 새로 돈을 빌려주려는 곳이 내 신용보고서를 열어 보지 못하게 막아 두는 일입니다. 당시 동결은 주마다 규정이 달랐고, 신용평가사마다 보통 5~10달러를 내야 했습니다. 연방법으로 동결이 무료가 된 것은 2018년 9월 21일부터입니다 (미 회계감사원 보고서). 동결 요청이 몰려 기술적 문제가 생겼고, Equifax는 2017년 11월 21일까지 동결 설정·해제 수수료를 받지 않기로 했습니다 (당사자 Equifax 발표). 이 한 사람이 할 수 있는 일을 다 하려면, 마비된 사이트와 가짜 사이트 사이에서 피해 여부부터 확인하고 신용평가사마다 따로 동결을 요청해야 했습니다.

발표 직후 동결에 더 많이 나선 쪽은 피해를 겪어 본 사람들이었습니다. 이전에 신원 도용이나 다른 유출을 겪은 사람은 그런 경험이 없는 사람보다 Equifax 발표 직후 신용보고서를 동결하고 신용카드 계좌를 닫을 가능성이 높았고, 신원 도용을 겪은 사람이 유출만 겪은 사람보다 더 그랬습니다 (DOI: 10.21799/frbp.wp.2022.36, 필라델피아 연방준비은행 워킹페이퍼). 노스캐롤라이나주 여론조사 자료에서는 컴퓨터를 얼마나 쓰는지가 Equifax 유출 뒤 자기 보호 조치를 할지 예측하지 못했고, 신원 도용에 대한 부정적 감정이 사람들을 조치로 이끌었습니다 (DOI: 10.1080/15564886.2021.1876801). 발표 직후 소비자 네 명을 면담한 예비 연구에서 참가자들은 신원 도용을 가장 큰 위험으로 꼽고 신용평가사가 모은 자기 정보를 통제할 수 없다고 느꼈지만, 그 위험에 맞설 만큼의 보호 조치는 하지 않았습니다 (DOI: 10.1145/3170427.3188510).

다른 해, 다른 유출을 본 연구에서는 사람을 움직인 것이 자기가 털렸다는 분명한 증거였습니다. 2012년 사우스캐롤라이나주 세무국 유출에서 직접 피해를 입은 소비자 가운데 눈에 띄게 많은 비율이 곧바로 사기 방지 서비스에 가입했지만, 직접 피해 없이 뉴스만 접한 소비자의 반응은 무시할 만큼 작았습니다. 저자들은 이 사례에서 소비자가 주로 자기 노출의 분명한 증거에 반응했다고 결론지었습니다 (DOI: 10.21799/frbp.wp.2015.42, 필라델피아 연방준비은행 워킹페이퍼). 여러 유출을 다룬 온라인 설문과 후속 조사에서는 참가자들은 자기에게 해당하는 유출의 74%를 모르고 있었습니다. 조치하겠다는 사람도 있었지만 대부분은 그 유출이 자기에게 영향이 없으리라 믿었고, 하겠다는 마음과 실제 행동 사이의 간극이 컸습니다. 무관심, 드는 비용, 잊어버림, 체념이 그 이유였습니다. 저자들은 유출된 기관이 피해자에게 더 적극적으로 알리고 보호하도록 책임을 져야 한다고 결론지었습니다 (DOI: 10.1145/3589958).

회사가 보내는 알림도 행동을 돕게 쓰여 있지 않았습니다. 유출 통지(data breach notification)는 개인정보가 새어 나간 회사가 그 정보의 주인들에게 그 사실을 알리는 일입니다. 사고 공개가 세상을 향한 발표라면, 유출 통지는 피해자 한 사람 한 사람을 향한 알림입니다. 여러 회사가 소비자에게 보낸 유출 통지문 161건은 길고 높은 읽기 능력을 요구했으며, 많은 회사가 받는 사람이 영향을 받았을 가능성과 그 위험을 낮춰 말하거나 흐렸습니다. 할 수 있는 조치는 긴 문단 속에 묻혀 있었고, 무엇이 급하고 무엇이 효과가 있는지는 거의 안내하지 않았습니다. 저자들은 더 알아보기 쉽게 통지를 설계하는 방법을 권고했습니다 (DOI: 10.1145/3290605.3300424).

행동하지 않는 데에도 이유가 있을 수 있습니다. 유출 뒤 소비자의 행동을 다룬 한 박사학위 논문은 행동하지 않음이 잘못된 판단일 때도 있지만, 합리적인 비용·편익 따짐이나 현실의 제약 앞의 체념에서 나올 수도 있다고 적었습니다 (DOI: 10.7302/6914, 박사학위 논문).

Equifax 뒤의 연구에서 사람들을 움직인 것은 겪어 본 피해와 감정이었고, 다른 유출에서는 자기가 털렸다는 분명한 증거였습니다. 피해 여부를 확인하고 동결을 거는 일은 피해자 몫이었습니다.

털린 정보는 신원 도용으로 이어지나

기존 계좌의 무단 사용, 새 계좌 개설, 정부 혜택이나 진료 같은 그 밖의 도용이라는 신원 도용의 세 갈래는 모두 정부나 기업의 데이터 유출을 겪은 일과 연관돼 있었고, 온라인 비밀번호를 바꾸고 서류를 파쇄하는 평소의 습관은 보호 쪽과 연관됐습니다. Equifax보다 앞선 2012년과 2014년의 미국 전국 범죄피해조사 자료입니다 (DOI: 10.1016/j.pmedr.2020.101058). 연관이므로, 유출이 도용을 일으킨 몫이 얼마인지까지 이 연구가 정한 것은 아닙니다.

피해는 돈에서 그치지 않았습니다. 이 사건과 별개로 같은 전국 조사를 쓴 연구들에서, 신원 도용을 겪은 사람은 돈과 시간을 잃는 데 더해 우울 같은 감정 증상과 건강이 나빠지는 신체 증상을 겪었습니다 (DOI: 10.1080/15564886.2016.1177766). 해결에 걸린 시간이 길수록 모든 결과에서 고통이 커지는 연관도 있었고, 저자들은 신원 도용의 돈 밖 결과가 금전 손실과 근본적으로 다른 현상이라고 결론지었습니다 (DOI: 10.1177/00938548231223166).

피해가 발견되기까지 1~2개월의 지연을 고려하면, 대형 유출 뒤 신원 도용 건수는 통계적으로 유의하게 늘었습니다 (DOI: 10.48550/arxiv.2603.21270, 2026년 프리프린트). 이 연구는 여러 대형 유출을 묶어 본 모형이고, Equifax 피해자 개개인이 도용을 당했는지를 센 것은 아닙니다.

유출과 신원 도용은 함께 나타나고 그 피해는 돈을 넘어서지만, 이번 유출 데이터가 실제로 신원 도용에 쓰였는지는 이 글이 본 사건 문서들이 다루지 않았습니다.

알리게 한 법은 신원 도용을 줄였나

미국에는 포괄적인 연방 유출 통지법이 없고, 50개 주가 저마다 통지법을 두었습니다. 주마다 기한(「부당한 지체 없이」 또는 발견 뒤 45일 안)과 개인정보의 정의가 달라, 같은 정보가 털려도 어떤 주의 소비자에게는 알려야 하고 다른 주의 소비자에게는 알리지 않아도 될 수 있습니다 (하원 감독위 다수당 보고서). 회계감사원은 통지의 목적을 피해자가 신원 도용 같은 오용에 맞서 스스로 조치할 기회를 갖게 하는 것으로 적었습니다 (미 회계감사원 보고서). 상원 소위는 대형 소매 체인 Target이 7일 만에, Yahoo!는 2013·2014년 유출을 2016·2017년에야 공개한 예를 들며 이를 「조각보 같은 불확실성」이라 불렀고, 부당한 지체 없이 소비자·수사기관·규제기관에 알리게 하는 법을 의회가 만들라고 권고했습니다 (상원 상설조사소위 보고서).

주마다 법을 만든 해가 다르다는 점을 써서, 연구자들은 법이 생기기 전과 뒤를 견줬습니다. 2002~2009년 FTC 자료로는 통지법을 도입하자 유출로 생긴 신원 도용이 평균 6.1% 줄었습니다 (DOI: 10.1002/pam.20567). 2005~2017년 자료를 베이즈 모형으로 보면 유출과 신원 도용의 상관을 이끈 것이 주의 크기였고, 통지법은 그래도 신원 도용 비율을 조금 줄였습니다 (DOI: 10.5325/jinfopoli.10.1.0045). 2003~2018년 50개 주와 워싱턴 DC를 본 학회 발표 초록에서는 법이 생긴 뒤 해마다의 유출 건수와 규모에 유의한 변화가 없었고, 신원 도용·사기의 장기 비율에도 유의한 변화가 없었습니다. 저자들은 주마다 다른 통지 기준 등을 그 이유로 추정했습니다 (DOI: 10.5465/ambpp.2022.11493abstract, 학회 발표 초록). 캘리포니아주가 2016년에 통지 기준을 정한 뒤로는 의료 신원 도용 신고가 인구 10만 명당 3.5건 줄었다는 추정이 있습니다 (DOI: 10.1111/jels.12331).

네 연구는 잰 것이 서로 다릅니다. 유출로 생긴 신원 도용, 신원 도용 비율, 유출 건수와 장기 신원 도용률, 의료 신원 도용 신고입니다.

통지법이 신원 도용을 줄였는지에 대한 연구의 답은 「조금 줄였다」와 「유의한 변화가 없다」로 갈리고, 어느 쪽도 Equifax 피해자를 잰 것은 아닙니다.

회사가 치른 값

공개 첫 주에 Equifax 주가는 35% 떨어져 시가총액 60억 달러가 사라졌습니다. 하원 보고서가 언론 보도를 인용해 적은 수치입니다 (하원 감독위 다수당 보고서).

다른 회사들의 유출에서는 주가 반응이 대체로 작게 잡혀 왔습니다. 2008~2018년 미국의 유출 발표를 보면 회사들은 뉴스가 붐빌 것으로 예상되는 날에 유출을 더 많이 발표했고, 이런 시점 고르기는 심각한 유출과 회사 내부 원인의 유출에서 더 흔했습니다. 뉴스가 붐빈 날 발표할수록 시가총액 감소 폭은 작았습니다. 저자들은 이런 시점 고르기가 앞선 연구들의 엇갈린 결과를 설명할 수도 있다고 결론지었습니다 (DOI: 10.1287/mnsc.2021.4264).

온라인 쇼핑 회사의 유출을 가정한 설문 실험에서는 늦게 알리는 데에도 값이 따랐습니다. 발견 즉시 알린 회사보다 두 달 뒤에 알린 회사에 대한 신뢰가 더 크게 떨어졌습니다. 신원 도용 보호와 신용 감시를 제공하면 신뢰가 회복됐지만, 늦게 알린 회사는 회복된 뒤에도 신뢰가 더 낮았습니다 (DOI: 10.1108/intr-12-2021-0939). Equifax보다 앞선 2000~2010년, 다른 회사들을 상대로 한 연방 법원 유출 소송에서는 피해자가 금전 피해를 입었을 때 회사가 소송을 당할 가능성(오즈)이 3.5배 컸고, 회사가 무료 신용 감시를 제공했을 때는 6배 낮았습니다 (DOI: 10.1111/jels.12035).

2019년 7월 22일 Equifax는 FTC, 미국 소비자금융보호국(CFPB), 그리고 48개 주와 워싱턴 DC·푸에르토리코와 적어도 5억 7,500만 달러, 최대 7억 달러를 내는 합의를 했습니다. 피해 소비자에게 신용 감시를 제공할 기금에 3억 달러를 내고, 이 주와 지역들에 1억 7,500만 달러, CFPB에 민사 벌금 1억 달러를 냅니다 (FTC 합의 발표). 2020년 1월부터 7년 동안 모든 미국 소비자에게 해마다 무료 신용보고서 6부를 더 주고, 2년마다 정보보안 프로그램에 대해 제3자 평가를 받아야 합니다 (FTC 합의 발표). 합의는 사실이고, 그 바탕이 된 위법 내용은 FTC 소장의 주장입니다. FTC는 법 위반을 「믿을 이유」가 있을 때 소장을 냅니다 (FTC 합의 발표).

피해자가 치른 값은 따로 추정해야 합니다. 앞의 프리프린트는 피해자 한 명의 손실(잃은 시간과 고통에 따른 의료비 포함)과 유출 뒤 늘어난 신원 도용 건수를 결합한 모형으로 Equifax 유출의 사회적 비용을 하한 2억 6,380만 달러, 상한 17억 2,000만 달러로 추정했습니다. 하한은 7억 달러의 합의 상한 안에 들고, 상한은 합의액의 두 배가 넘습니다. 2009년 Heartland와 2013년 Target 유출에서는 하한만으로도 합의액의 5배·18배였습니다. 저자들은 피해자 한 명당 사회적 비용이 2016년 이후 크게 줄었다고 보고, 그와 견줘 기관이 진 책임액과 사회적 비용의 차이가 좁아진 것을 유출된 기록이 넘쳐 기록 하나의 피해가 줄어드는 「시장 포화」의 증거로 해석했습니다 (DOI: 10.48550/arxiv.2603.21270, 프리프린트).

Equifax가 치른 값은 주가와 합의금으로 드러났지만, Equifax 피해자가 치른 값은 이 글이 본 연구 가운데서는 프리프린트 한 편의 모형 추정이 전부입니다.

아직 모르는 것

2020년 2월 미국 법무부는 애틀랜타 연방 대배심이 중국 인민해방군 제54연구소 소속 4명을 컴퓨터 사기, 경제 스파이, 통신 사기 공모 등의 혐의로 기소했다고 발표했습니다. 기소장에 따르면 이들은 미국인 약 1억 4,500만 명의 개인정보와 Equifax의 데이터 구성·데이터베이스 설계라는 영업비밀을 훔친 혐의를 받습니다. 보도자료는 「기소장의 내용은 혐의이며, 피고인은 법정에서 합리적 의심을 넘어 유죄가 입증될 때까지 무죄로 추정된다」고 스스로 적었습니다 (미 법무부 기소 발표). 2018년의 하원 보고서는 수상한 통신의 출발지를 중국의 IP 주소, 그리고 중국 업체에 임대된 독일 인터넷 업체의 주소로만 적었고, 공격자가 누구인지는 단정하지 않았습니다 (하원 감독위 다수당 보고서). 공격자에 대해 문서가 말한 것은 기소, 곧 혐의의 단계까지입니다.

털린 정보가 그 뒤 실제로 팔렸는지, 누군가의 신원 도용에 쓰였는지는 이 글이 본 사건 문서들이 다루지 않았습니다. 문서가 다루지 않았다는 것은 쓰이지 않았다는 뜻도, 쓰였다는 뜻도 아닙니다.

기록 자체에도 빈자리가 있습니다. Equifax가 사내 메신저 대화를 보존하지 않아서(법적 보존 명령은 8월 22일, 실제 보존 시작은 9월 15일) 상원 소위는 완전한 기록을 갖지 못했고 유출을 온전히 이해하지 못했다고 적었습니다 (상원 상설조사소위 보고서). 회계감사원은 Equifax가 보고한 개선 조치를 독립적으로 평가하지 않았습니다 (미 회계감사원 보고서). 감시 장비가 꺼져 있던 기간, 76일과 78일, 240만 명의 겹침도 이 문서들 안에서는 풀리지 않았습니다.

2018년 하원 보고서 시점에, 신용 감시가 얼마나 도움이 되는지는 열려 있었습니다. 하원 위원회가 들은 의견은 신용 감시의 가치와 보호를 제공해야 할 기간 모두에서 엇갈렸고, 하원 보고서는 회계감사원이 신원 감시·보호 서비스의 실효성과 필요 기간을 검토하라고 권고했습니다 (하원 감독위 다수당 보고서).

털린 다음은 누구의 일이었나

Equifax를 노린 공격은 2017년 7월 30일 포털을 내리면서 끝났지만, 대부분의 피해자에게 이 일은 9월 7일의 발표로 시작됐습니다. 피해자들은 정보를 맡긴 적 없는 회사의 발표로 사실을 알았고, 스스로 조치하려면 마비된 사이트에서 피해 여부를 확인하고 신용평가사마다 따로 동결을 걸어야 했습니다. 회사는 1년 무료 신용 감시와 동결 수수료 면제를 내놓았고, 합의로 소비자 기금과 무료 신용보고서, 정기 보안 평가의 의무를 졌습니다. 연구에서 사람들은 하겠다고 하고도 하지 않는 경우가 많았고, 움직인 쪽에는 피해를 겪어 본 사람과 자기가 털렸다는 분명한 증거를 받은 사람이 더 많았습니다. 알리게 한 법이 신원 도용을 줄였는지는 연구마다 답이 갈립니다.

Equifax에서 침입은 회사의 시스템 안에서 끝났지만, 피해 여부를 확인하고 동결을 거는 일은 정보를 맡긴 적 없는 피해자 한 사람 한 사람에게 남았습니다.

이름·생년월일 같은 정보가 어떻게 한 사람을 가리키는지는 「개인정보와 익명화 — 이름을 지워도 사람은 남는다」에서, 유출 소식을 틈탄 가짜 사이트가 어떻게 사람을 속이는지는 「피싱과 사회공학 — 문을 부수는 대신 초인종을 누른다」에서, 고친 판이 나와도 부품 속 취약점이 오래 남는 이유는 「Log4j 취약점 — 벽 속에 묻힌 부품은 누가 찾아내나」에서 이어집니다.

사건 자료

• "The Equifax Data Breach" (2018-12) — https://oversight.house.gov/wp-content/uploads/2018/12/Equifax-Report.pdf — 하원 감독·정부개혁위원회 다수당 직원 보고서. 경과, 원인(관리 구조·패치·인증서·낡은 IT), 공개 뒤 대응, 권고 7개.
• "Data Protection: Actions Taken by Equifax and Federal Agencies in Response to the 2017 Breach" (GAO-18-559, 2018-08) — https://www.gao.gov/assets/gao-18-559.pdf — 미 회계감사원 성과감사. 경과·원인은 대부분 Equifax 설명을 옮겼고 독립 검증하지 않음. 피해 범위 수정, 연방기관 대응.
• "How Equifax Neglected Cybersecurity and Suffered a Devastating Data Breach" (2019-03) — https://www.hsgac.senate.gov/wp-content/uploads/imo/media/doc/FINAL%20Equifax%20Report.pdf — 상원 상설조사소위 직원 보고서. 2015년 패치 감사, 경쟁사 비교, 공개 지연, 기록 보존 실패, 권고 5개.
• "Equifax to Pay $575 Million as Part of Settlement with FTC, CFPB, and States Related to 2017 Data Breach" (2019-07-22) — https://www.ftc.gov/news-events/news/press-releases/2019/07/equifax-pay-575-million-part-settlement-ftc-cfpb-states-related-2017-data-breach — FTC 보도자료. 합의 금액·소비자 구제·보안 의무와 소장의 주장.
• "Equifax Announces Cybersecurity Incident Involving Consumer Information" (2017-09-07) — https://investor.equifax.com/news-events/press-releases/detail/240/equifax-announces-cybersecurity-incident-involving-consumer — 당사자 Equifax의 첫 공지. 피해 추정, 무료 상품.
• "Equifax Releases Details on Cybersecurity Incident, Announces Personnel Changes" (2017-09-15) — https://investor.equifax.com/news-and-events/news/2017/09-15-2017-224018832 — 당사자 Equifax의 경과 설명과 인사 발표, 동결 수수료 면제, 약관 해명.
• "Chinese Military Personnel Charged with Computer Fraud, Economic Espionage and Wire Fraud for Hacking into Credit Reporting Agency Equifax" (2020-02-10) — https://www.justice.gov/opa/pr/chinese-military-personnel-charged-computer-fraud-economic-espionage-and-wire-fraud-hacking — 미 법무부 기소 발표. 혐의와 무죄 추정 문구.

근거 논문

• "Prior Fraud Exposure and Precautionary Credit Market Behavior" (2022, 필라델피아 연준 워킹페이퍼) — DOI: 10.21799/frbp.wp.2022.36 — Equifax 발표 직후, 이전에 신원 도용이나 유출을 겪은 사람이 경험 없는 사람보다 신용 동결·카드 해지를 더 많이 했고 신원 도용 경험자가 더 그랬다.
• "Who Responded to Equifax? Self-Protection Strategies When Guardians Fail" (2021) — DOI: 10.1080/15564886.2021.1876801 — 노스캐롤라이나 여론조사. 컴퓨터 사용은 Equifax 뒤 자기 보호 조치를 예측하지 못했고, 신원 도용에 대한 부정적 감정이 조치로 이끌었다.
• "Concern But No Action" (2018) — DOI: 10.1145/3170427.3188510 — Equifax 뒤 예비 면담 4명. 신원 도용을 주된 위험으로 보고 통제감이 낮았지만 충분한 보호 조치는 하지 않았다.
• "Out of Sight, Out of Mind: Consumer Reaction to News on Data Breaches and Identity Theft" (2015, 필라델피아 연준 워킹페이퍼) — DOI: 10.21799/frbp.wp.2015.42 — 2012년 사우스캐롤라이나 세무국 유출. 직접 피해자는 대거 사기 방지 서비스에 가입, 뉴스만 접한 사람의 반응은 미미. 소비자는 자기 노출의 분명한 증거에 반응.
• "Awareness, Intention, (In)Action: Individuals’ Reactions to Data Breaches" (2023) — DOI: 10.1145/3589958 — 설문 413명·후속 108명. 73%가 유출에 걸렸으나 해당 유출의 74%를 몰랐고, 의도-행동 간극(무관심·비용·망각·체념). 기관의 적극적 통지·보호 책임.
• "You `Might' Be Affected" (2019) — DOI: 10.1145/3290605.3300424 — 유출 통지문 161건. 길고 어려우며 영향 가능성과 위험을 낮추거나 흐리고, 조치의 긴급성·효과 안내가 거의 없다.
• "Understanding and Improving Consumers' Adoption of Online Privacy-Protective Behaviors" (2022, 박사학위 논문) — DOI: 10.7302/6914 — 유출 뒤 무행동은 잘못된 판단일 수도 있지만 합리적 비용·편익 판단이나 제약 앞의 체념에서 나올 수도 있다.
• "Risk and protective factors of identity theft victimization in the United States" (2020) — DOI: 10.1016/j.pmedr.2020.101058 — NCVS 신원 도용 부가조사 2012·2014년(N=128,419). 신원 도용 세 하위 유형 모두 정부·기업 데이터 유출 경험과 연관, 비밀번호 변경·파쇄는 보호 요인.
• "The Consequences of Identity Theft Victimization: An Examination of Emotional and Physical Health Outcomes" (2016) — DOI: 10.1080/15564886.2016.1177766 — 금전·시간 손실에 더해 감정(우울 등)·신체(건강 악화) 증상.
• "Nonfinancial Consequences of Identity Theft Revisited: Examining the Association of Out-of-Pocket Losses With Physical or Emotional Distress and Behavioral Health" (2024) — DOI: 10.1177/00938548231223166 — 피해자 1,557명. 해결에 걸린 시간이 모든 결과에서 고통 증가와 연관, 돈 밖 결과는 금전 손실과 다른 현상.
• "Estimating the Social Cost of Corporate Data Breaches" (2026, 프리프린트) — DOI: 10.48550/arxiv.2603.21270 — 1~2개월 발견 지연을 고려하면 대형 유출 뒤 신원 도용이 유의하게 증가. Equifax 사회적 비용 하한 2억 6,380만·상한 17억 2,000만 달러, 시장 포화 해석.
• "Do data breach disclosure laws reduce identity theft?" (2011) — DOI: 10.1002/pam.20567 — 2002~2009년 FTC 패널 자료. 통지법 도입이 유출로 인한 신원 도용을 평균 6.1% 줄였다.
• "More Than a Suspect: An Investigation into the Connection Between Data Breaches, Identity Theft, and Data Breach Notification Laws" (2020) — DOI: 10.5325/jinfopoli.10.1.0045 — 2005~2017년 베이즈 모형. 상관은 주의 크기가 이끌고, 통지법은 신원 도용을 조금 줄이며, 주 법무장관의 통지 공개가 학습에 도움.
• "Do US State Breach Notification Laws Reduce Firm Data Breaches?" (2022, 학회 발표 초록) — DOI: 10.5465/ambpp.2022.11493abstract — 2003~2018년 이중차분. 유출 건수·규모, 신원 도용·사기의 장기 비율에 유의한 변화 없음. 연방 체제 제안.
• "Do data breach notification laws reduce medical identity theft? Evidence from consumer complaints data" (2022) — DOI: 10.1111/jels.12331 — 캘리포니아 2016년 통지 기준 뒤 의료 신원 도용 신고 10만 명당 3.5건 감소(합성 통제).
• "Data Breach Announcements and Stock Market Reactions: A Matter of Timing?" (2022) — DOI: 10.1287/mnsc.2021.4264 — 2008~2018년. 뉴스가 붐빌 날에 발표가 몰리고(심각·내부 원인·의료·접속 정보에서 더 흔함), 뉴스 붐빔이 반응을 약화. 중앙값 감소 3억 4,700만 달러 대 8,500만 달러.
• "It pays to be forthcoming: timing of data breach announcement, trust violation, and trust restoration" (2023) — DOI: 10.1108/intr-12-2021-0939 — 설문 실험. 늦은 발표가 신뢰를 더 크게 떨어뜨리고, 보호 제공으로 회복돼도 늦게 알린 회사가 더 낮다.
• "Empirical Analysis of Data Breach Litigation" (2014) — DOI: 10.1111/jels.12035 — 2000~2010년 연방 유출 소송 230건 이상. 금전 피해 시 피소 오즈 3.5배, 무료 신용 감시 제공 시 6배 낮음.