캐피털원 1억 6백만 명 개인정보 해킹 유출 사건

2019년 3월 22일부터 전직 아마존웹서비스(AWS) 엔지니어 페이지 톰프슨은 캐피털원이 잘못 설정한 방화벽(WAF) 취약점을 악용해 클라우드 서버에 침투하기 시작했다. 그는 이 취약점을 이용해 700개가 넘는 아마존 S3 스토리지 버킷에서 신용카드 신청자 데이터를 다운로드하는 작업을 수개월에 걸쳐 진행했다. 유출된 정보에는 이름, 주소, 신용점수, 생년월일 등 2005년부터 2019년 사이 신용카드 상품에 신청한 고객들의 개인정보가 대량 포함됐다. 톰프슨은 이 과정에서 확보한 서버 자원을 이용해 암호화폐 채굴 프로그램까지 몰래 설치한 것으로 나중에 드러났다. 이 침해는 약 4개월간 외부에 드러나지 않은 채 지속됐다.

톰프슨은 탈취한 데이터 관련 정보를 코딩 공유 플랫폼 깃허브(GitHub)에 자신의 신원이 드러날 수 있는 방식으로 게시했다. 이를 발견한 한 외부 이용자가 캐피털원에 익명 제보를 하면서 사건이 처음으로 외부에 알려지게 됐다. 보안 전문가들은 이 사건이 공격자가 스스로 흔적을 남겨 발각된 이례적인 사례라고 평가했다. 캐피털원은 제보를 받은 직후 내부 보안팀을 가동해 침해 여부를 확인하는 작업에 착수했다. 이 제보가 없었다면 유출 사실이 훨씬 늦게 발견됐을 것이라는 지적이 나왔다.

외부 제보를 접수한 캐피털원은 2019년 7월 19일 내부 조사를 통해 실제로 대규모 데이터 침해가 발생했음을 공식 확인했다. 회사는 즉시 연방수사국(FBI)에 신고하고 외부 보안 전문가들과 함께 피해 규모를 파악하는 작업에 들어갔다. 초기 조사에서 유출 규모가 1억 명을 넘어설 수 있다는 우려가 제기되면서 사안의 심각성이 부각됐다. 회사 경영진은 고객 신뢰 회복을 위해 신속한 대응과 투명한 공개를 약속했다. 이 시점부터 FBI와의 공조 수사가 본격화됐다.

2019년 7월 29일 FBI는 시애틀에서 페이지 톰프슨을 체포했으며, 캐피털원은 이번 유출로 미국 고객 약 1억 명과 캐나다 고객 약 600만 명 등 총 1억 600만 명의 개인정보가 노출됐다고 공식 발표했다. 이 중 약 14만 명의 사회보장번호와 8만 명의 은행 계좌번호가 함께 유출된 것으로 파악됐다. 이는 당시 미국 은행권 역사상 최대 규모의 데이터 유출 사고 중 하나로 기록됐다. 캐피털원 주가는 발표 직후 급락했으며 규제당국의 조사가 예고됐다. 회사는 피해 고객에게 신용 모니터링 서비스를 무상 제공하겠다고 밝혔다.

2020년 8월 미국 통화감독청(OCC)은 캐피털원이 클라우드 이전 과정에서 적절한 보안 통제와 위험 관리 절차를 갖추지 못했다며 8천만 달러(약 1천억 원)의 과징금을 부과했다. 규제당국은 캐피털원이 방화벽 설정 오류를 사전에 점검하고 시정할 기회가 있었음에도 이를 놓쳤다고 지적했다. 이는 금융권 클라우드 보안 관리 부실에 대해 부과된 사상 최대 규모의 제재금 중 하나로 평가됐다. 캐피털원은 이후 보안 인프라와 내부 통제 체계를 전면 재정비하겠다고 밝혔다. 이 제재는 향후 금융사들의 클라우드 보안 기준 강화에 영향을 미쳤다.

캐피털원은 데이터 유출로 피해를 입은 고객들이 제기한 집단소송에서 1억 9천만 달러(약 2500억 원) 규모의 배상에 합의했다. 이 합의금은 피해 고객들의 신용 모니터링 비용, 정신적 피해, 사기 피해 복구 비용 등을 보상하기 위해 사용됐다. 법원은 이 합의안이 피해 규모에 비춰 합리적이라고 판단해 최종 승인했다. 소비자 보호 단체들은 이번 합의가 대형 금융사의 데이터 보안 책임을 명확히 한 사례라고 평가했다. 이는 당시 금융권 데이터 유출 관련 집단소송 중 최대 규모의 배상액 중 하나로 기록됐다.

2022년 6월 시애틀 연방법원 배심원단은 페이지 톰프슨에게 전신사기 및 보호된 컴퓨터 무단 접근 등 여러 연방 범죄 혐의에 대해 유죄 평결을 내렸다. 검찰은 재판 과정에서 그가 캐피털원뿐 아니라 30곳이 넘는 다른 기업들의 클라우드 서버에도 유사한 방식으로 침입했다고 밝혔다. 배심원단은 그가 탈취한 컴퓨팅 자원을 암호화폐 채굴에 활용해 수익을 챙긴 정황도 인정했다. 이 평결은 캐피털원 사건 발생으로부터 약 3년 만에 나온 것으로, 클라우드 보안 침해에 대한 개인의 형사책임을 명확히 한 판결로 평가됐다. 양형은 이후 별도 절차를 거쳐 결정됐다.

2022년 10월 연방법원은 유죄가 확정된 페이지 톰프슨에게 추가 수감 없이 이미 구금된 기간을 형기로 인정하고 5년간의 보호관찰(집행유예)을 선고했다. 검찰은 피해 규모에 비춰 이 판결이 지나치게 관대하다며 강한 불만을 표시했다. 법원은 톰프슨의 정신건강 문제와 수사 협조 정황 등을 양형에 참작한 것으로 알려졌다. 이 판결을 두고 사이버 범죄에 대한 처벌 수위 논란이 다시 불거졌다. 검찰은 이후 이 판결에 대해 항소하는 방안을 검토했다.

2025년 3월 18일 제9순회 연방항소법원은 페이지 톰프슨에게 내려졌던 집행유예 위주의 관대한 형량이 부당하다며 이를 파기하고 재심리를 위해 하급심으로 사건을 환송했다. 항소법원은 원심이 피해 규모와 범죄의 중대성에 비춰 지나치게 가벼운 처벌을 내렸다고 판단했다. 이 결정으로 사건 발생 6년, 유죄 평결 3년이 지난 시점에도 톰프슨에 대한 최종 형량은 다시 정해지게 됐다. 검찰은 이번 판결을 사이버 범죄에 대한 엄정한 처벌 원칙을 재확인한 결과라며 환영했다. 캐피털원 해킹 사건은 이로써 6년이 넘도록 법적 절차가 마무리되지 않은 장기 사건으로 남게 됐다.