영국 수도 공급 기업 사우스 스태퍼드셔 워터가 대규모 개인정보 유출 사고로 96만3,900파운드, 약 13억 원의 과징금을 부과받았다. 영국 정보위원회(ICO) 조사 결과, 고객과 임직원 66만3,887명의 정보가 유출돼 다크웹에 공개된 것으로 확인됐다.
이번 공격은 지난 2020년 9월 피싱 메일에서 시작됐다. 공격자는 악성코드를 내부 시스템에 설치했고, 회사는 이를 약 20개월 동안 발견하지 못했다. 이후 공격자는 2022년 5월부터 7월 사이 내부 권한을 높여 도메인 관리자 권한까지 확보했다. 사고는 같은 해 7월 IT 시스템 성능 문제가 발생한 뒤에야 확인됐다.
유출된 정보에는 이름, 주소, 이메일, 전화번호, 생년월일, 고객 계정 정보, 은행 계좌 정보가 포함됐다. 임직원 정보 중에는 국민보험번호와 인사 자료도 있었다.
ICO는 이번 사고의 원인으로 부실한 보안 관리를 지적했다. 회사는 전체 IT 환경의 약 5%만 보안 모니터링하고 있었고, 지원이 종료된 윈도 서버 2003을 계속 사용했다. 보안 패치와 취약점 점검도 제대로 이뤄지지 않았다.
이번 사건은 중요 기반시설 기업이 오래된 시스템과 허술한 보안 체계를 방치할 경우 어떤 피해가 발생하는지 보여준다. 수도·전력·통신 같은 기반시설은 서비스 중단과 개인정보 유출이 동시에 발생할 수 있어 더 높은 수준의 보안 관리가 필요하다는 지적이 나온다.
ICO는 회사가 책임을 인정하고 조사에 협조한 점을 고려해 과징금을 40% 감경했다.
댓글
0