시저스 엔터테인먼트, 소셜엔지니어링 해킹 당해 1500만 달러 몸값 지급 정황

해커 조직 '스캐터드 스파이더'(UNC3944)로 알려진 공격자들이 시저스 엔터테인먼트가 위탁한 외부 IT 지원업체의 상담원을 속이는 소셜엔지니어링 기법으로 내부 시스템에 최초로 접근했다. 이들은 직원을 사칭해 헬프데스크를 속여 계정 접근 권한을 탈취하는 수법을 사용했는데, 이는 같은 시기 여러 카지노·엔터테인먼트 기업을 노린 동일 조직의 전형적인 공격 방식이었다. 이 침입을 통해 공격자는 시저스의 로열티 프로그램 관련 데이터베이스에 접근할 수 있는 발판을 마련했다. 이 단계에서는 회사도 침해 사실을 인지하지 못한 상태였다.

공격자들이 시저스의 로열티 프로그램인 '시저스 리워즈' 데이터베이스에 접근해 다수 회원의 개인정보를 탈취했다. 유출된 정보에는 이름, 주민등록번호에 해당하는 사회보장번호(SSN), 운전면허번호 등 민감한 개인식별정보가 다수 포함된 것으로 나중에 확인됐다. 시저스는 미국 전역에 수십 개의 카지노·호텔을 운영하며 수백만 명의 로열티 회원을 보유하고 있어, 유출 규모와 파급력이 상당할 것으로 우려됐다. 그러나 이 시점에는 외부에 사건이 공개되지 않은 상태였다.

시저스 엔터테인먼트는 자체 조사를 통해 9월 7일 무단 접근 사실을 공식적으로 인지했다고 이후 SEC 제출 서류에서 밝혔다. 회사는 이 시점부터 사고 대응 절차에 착수해 외부 사이버보안 전문가를 투입하고 피해 범위를 파악하기 시작했다. 그러나 인지 시점과 실제 고객 통보 시점 사이에는 한 달 이상의 시차가 있었던 것으로 드러나 이후 소송 과정에서 늑장 대응이라는 비판의 근거가 됐다. 회사 내부적으로는 몸값 협상 여부를 둘러싼 논의도 이 시기에 이뤄진 것으로 알려졌다.

시저스 엔터테인먼트는 9월 14일 미국 증권거래위원회(SEC)에 제출한 8-K 보고서를 통해 무단 접근자가 로열티 프로그램 데이터베이스에 접근했음을 공식 인정했다. 보도에 따르면 시저스는 해커 조직의 최초 요구액 3000만 달러의 절반 수준인 약 1500만 달러를 몸값으로 지급하는 데 합의한 것으로 알려졌다. 회사는 탈취된 데이터가 삭제되도록 조치를 취했다고 밝히면서도 이를 100% 보장할 수는 없다고 인정했다. 같은 시기 유사한 수법으로 공격받은 MGM 리조트는 몸값 지급을 거부해 두 회사의 대응 방식이 뚜렷하게 대비됐다.

블룸버그 등 외신은 시저스가 해커들에게 실제로 1500만 달러를 지급했다고 상세히 보도하며, 이 사건이 같은 주 발생한 MGM 리조트 랜섬웨어 공격과 함께 미국 카지노 업계 전체를 뒤흔든 이중 사이버 공격 사태로 부각됐다. 두 사건 모두 배후에 동일한 해커 집단인 스캐터드 스파이더가 지목되면서, 이들이 엔터테인먼트·접객업 업계를 새로운 표적으로 삼고 있다는 우려가 커졌다. 보안 전문가들은 몸값 지급이 향후 유사 공격을 부추길 수 있다고 경고하면서도, 개인정보 유출 확산을 막기 위한 시저스의 불가피한 선택이었다는 시각도 제기했다.

시저스는 9월 7일 침해 사실을 인지하고도 한 달 가까이 지난 10월 6일이 되어서야 영향을 받은 고객들에게 정식 데이터 유출 통지서를 발송했다. 통지서에는 유출된 개인정보 항목과 함께 신용 모니터링 서비스 제공 등 후속 조치 내용이 포함됐다. 이러한 지연된 통보는 이후 피해 고객들이 제기한 집단소송에서 회사의 과실을 입증하는 핵심 근거 중 하나로 활용됐다. 고객들은 자신의 사회보장번호와 운전면허번호가 수주간 노출된 상태였다는 사실에 강한 불만을 표시했다.

데이터 유출 피해를 입은 시저스 로열티 프로그램 회원들이 네바다주 연방지방법원과 뉴저지주 연방법원에 각각 집단소송을 제기했다. 원고 측은 시저스가 고객의 민감한 개인정보를 충분히 보호하지 못한 과실이 있으며, 침해 인지 이후 통보까지 부당하게 지연했다고 주장했다. 소송에는 주로 시저스 계열 호텔 투숙객들이 원고로 참여했으며, 유사한 소송이 이후 여러 건 추가로 제기되면서 코헨 밀스타인 등 대형 로펌들이 소송을 병합해 진행했다. 이 소송들은 이후 수년간 이어지는 법적 공방의 시작점이 됐다.

시저스 엔터테인먼트는 2023 회계연도 10-K 연례보고서에서 해당 사이버 공격 사건의 경위와 재무적 영향을 공식적으로 명시했다. 보고서에는 소셜엔지니어링을 통한 제3자 벤더 침해, 로열티 데이터베이스 유출, 몸값 지급 및 진행 중인 소송 리스크 등이 상세히 기재됐다. 이는 상장기업으로서 사이버 사고에 대한 투자자 공시 의무를 이행한 것으로, 이후 유사 사고를 겪은 기업들의 공시 관행에도 참고 사례가 됐다. 회사는 재발 방지를 위해 제3자 벤더 보안 점검을 강화하겠다고 밝혔다.