에퀴팩스 개인정보 유출 사건
2017년 에퀴팩스 유출 사건은 패치되지 않은 Apache Struts 취약점이 악용되어 미국인 약 1억 4천700만 명의 신용·신원정보가 노출된 대형 개인정보 사고입니다.
에퀴팩스 개인정보 유출 사건
미국 신용평가회사 Equifax는 2017년 9월 대규모 개인정보 유출을 발표했습니다. 공격자는 2017년 5월 중순부터 7월 말까지 소비자 분쟁 웹 애플리케이션을 통해 내부 시스템에 접근한 것으로 조사되었습니다. 이름, 사회보장번호, 생년월일, 주소와 일부 운전면허번호·신용카드 정보가 영향을 받았습니다.
신용평가회사가 보유한 데이터는 여러 출처의 금융·신원 기록을 결합하므로 피해자가 해당 서비스에 직접 가입하지 않았어도 영향을 받을 수 있습니다.
사건 개요
진행 경과
Apache Struts 취약점 패치가 공개된 뒤 Equifax 내부 절차에서 취약 시스템 식별과 패치 확인이 실패했습니다. 공격자는 웹 애플리케이션을 통해 데이터베이스를 탐색하고 여러 차례 자료를 반출했습니다. 만료된 네트워크 검사 인증서가 일부 암호화 트래픽 가시성에 영향을 준 것으로 의회·감사 자료에서 지적되었습니다.
피해와 영향
미국 성인 인구의 큰 비율에 해당하는 신원정보가 노출되어 장기 명의도용과 신용사기 우려가 발생했습니다. Equifax는 경영진 교체, 소송, 규제조사와 대규모 비용을 겪었습니다. FTC·CFPB·주 정부와의 합의는 소비자 지원과 보안 개선을 포함했습니다.
원인과 확산 요인
자산 목록과 패치 적용 검증, 취약점 스캔의 실패, 인증서 관리, 네트워크 분할과 데이터 접근 통제의 약점이 복합적으로 작용했습니다. 사회보장번호처럼 변경이 어려운 데이터를 대규모로 보유하는 사업모델 자체의 위험도 부각되었습니다.
대응과 수습
회사는 웹 애플리케이션을 폐쇄하고 조사·통지·신용 모니터링을 진행했습니다. 2019년 FTC 등과 최소 5억7천500만 달러, 최대 7억 달러 규모의 합의가 발표되었습니다. 피해자 대상 신원복구와 신용감시 서비스가 장기간 제공되었습니다.
남긴 교훈
긴급 패치 지시는 시스템별 적용 증거와 재검증까지 포함해야 합니다. 취약점 스캐너·인증서·로그 수집 체계 자체도 감시해야 합니다. 변경하기 어려운 신원정보는 수집·보유를 최소화하고 침해 후 장기 신원복구 지원을 준비해야 합니다.
사실 확인 시 주의점
1억 4천700만 명은 최종적으로 널리 사용되는 미국 피해 규모입니다. 합의 총액과 실제 개인 보상액, 지원 한도는 서로 다릅니다. 침해 기간과 공격자의 국가 배후에 관한 형사 기소·보도는 공식 조사 결과와 구분해 확인합니다.