메리어트·스타우드 5억 건 개인정보 유출 사건과 잇따른 과징금

2014년 7월 무렵, 신원이 확인되지 않은 해커들이 스타우드 호텔그룹의 게스트 예약 데이터베이스에 침투했다. 이들은 이후 4년이 넘는 기간 동안 시스템 내부에 잠복하며 데이터베이스를 암호화된 형태로 빼돌렸다. 스타우드는 당시 메리어트와는 별개의 독립 호텔 체인이었으며, 이 침투 사실은 오랜 기간 전혀 발견되지 않았다. 훗날 조사에서 이 침투가 이번 사건 전체의 시발점이었던 것으로 확인됐다. 침투 경로와 최초 배후는 이후에도 명확히 공개되지 않았다.

2016년 9월 23일 메리어트 인터내셔널은 스타우드 호텔앤리조트를 인수하는 절차를 마무리했다. 당시 세계 최대 규모의 호텔 체인이 탄생했다는 평가를 받았지만, 메리어트는 스타우드의 예약 시스템에 이미 해커가 잠복해 있다는 사실을 전혀 인지하지 못한 채 인수를 진행했다. 두 회사의 IT 시스템 통합 작업이 이어지는 동안에도 해커들은 발각되지 않고 계속 시스템에 접근할 수 있었다. 이는 대형 인수합병 과정에서 피인수 기업의 보안 실사가 얼마나 중요한지를 보여주는 사례로 이후 거론됐다. 결과적으로 메리어트는 스타우드의 보안 부채까지 그대로 떠안게 됐다.

2018년 9월 8일, 메리어트의 내부 보안팀은 스타우드 게스트 예약 데이터베이스에 대한 비정상적인 조회 요청을 탐지하는 보안 경보를 수신했다. 이를 계기로 회사는 즉각 외부 포렌식 전문가를 투입해 정밀 조사에 착수했다. 조사 결과 해커들이 이미 2014년부터 시스템에 접근해 데이터를 빼돌려 왔다는 충격적인 사실이 드러났다. 4년 넘게 발각되지 않았다는 점에서 메리어트의 보안 모니터링 체계에 대한 비판이 즉각 제기됐다. 회사는 이후 공개까지 약 두 달간 추가 조사와 대응 준비 기간을 가졌다.

2018년 11월 30일 메리어트는 공식 성명을 통해 스타우드 예약 시스템 해킹으로 최대 5억 명에 달하는 투숙객의 개인정보가 유출됐을 가능성이 있다고 발표했다. 유출된 정보에는 이름, 주소, 전화번호, 이메일, 여권번호, 생년월일, 성별, 스타우드 로열티 프로그램 계정 정보 등이 포함됐고, 일부 고객은 신용카드 번호와 유효기간까지 노출된 것으로 확인됐다. 이는 당시 기준으로 역대 최대 규모의 개인정보 유출 사건 중 하나로 꼽히며 전 세계적으로 큰 파장을 일으켰다. 미국 연방거래위원회를 비롯한 각국 개인정보 감독기구가 즉각 조사에 착수했다. 발표 직후 메리어트 주가는 급락했다.

2019년 7월 영국 정보위원회(ICO)는 메리어트가 EU 일반개인정보보호법(GDPR)을 위반했다며 약 9920만 파운드, 당시 환율로 약 1억2400만 달러에 달하는 과징금을 부과하겠다는 예비 방침을 발표했다. 이는 GDPR 시행 이후 기업에 부과된 과징금 중 최대 규모 중 하나로 큰 주목을 받았다. ICO는 메리어트가 스타우드 인수 당시 충분한 실사를 하지 않았고 이후에도 적절한 보안 조치를 취하지 않았다고 지적했다. 메리어트는 이 예비 방침에 대해 이의를 제기하며 대응 절차에 들어갔다. 최종 과징금 액수는 이후 별도의 심리 절차를 거쳐 확정될 예정이었다.

사건 공개 이후 미국 의회는 메리어트 경영진을 상대로 여러 차례 청문회를 열어 보안 관리 소홀 책임을 추궁했고, 다수의 주 정부와 소비자들이 잇따라 집단소송을 제기했다. 이후 추가 조사를 통해 최초 발표됐던 5억 명이라는 피해 규모는 실제로는 약 3억8300만 명의 고유 고객으로 하향 조정됐다. 그럼에도 이는 여전히 역대 최대급 개인정보 유출 사건 중 하나로 남았다. 여러 소송은 이후 수년에 걸쳐 진행되며 메리어트에 상당한 법률 비용 부담을 안겼다. 일부 소송은 화해로 종결됐지만 일부는 장기간 지속됐다.

2020년 10월 30일 영국 ICO는 메리어트에 부과할 최종 과징금을 1840만 파운드, 약 2390만 달러로 확정한다고 발표했다. 이는 애초 예고했던 9920만 파운드에서 80% 넘게 감액된 액수로, 코로나19로 인한 경제적 타격과 메리어트의 보안 개선 노력 등이 감액 사유로 제시됐다. 그럼에도 이 금액은 여전히 ICO가 부과한 역대 과징금 중 상위권에 속했다. 메리어트는 이 결정을 수용하며 추가 법적 다툼을 이어가지 않기로 했다. 이 과징금 확정으로 영국 내 GDPR 위반 관련 절차는 일단락됐다.

2020년 초 메리어트는 한 프랜차이즈 호텔의 로그인 자격증명이 도용되면서 약 520만 건의 투숙객 정보가 추가로 유출되는 별도의 침해가 발생했다고 공개했다. 이는 2014년 스타우드 침투, 2018년 대규모 유출 발표에 이은 세 번째 개인정보 침해 사건으로, 메리어트의 반복된 보안 관리 실패에 대한 비판을 다시 불러일으켰다. 미국 규제당국은 이 세 차례의 침해를 하나의 연속된 보안 관리 소홀 사례로 묶어 조사를 진행했다. 이 추가 유출은 훗날 2024년 최종 합의에서도 함께 다뤄지는 근거가 됐다. 메리어트는 이후 전사적 보안 시스템 재정비에 나섰다고 밝혔다.

2024년 10월 9일 미국 연방거래위원회(FTC)와 49개 주 및 컬럼비아 특별구 법무장관들은 2014년부터 2020년까지 이어진 세 차례의 데이터 침해에 대해 메리어트·스타우드와 각각 최종 합의를 발표했다. 메리어트는 49개 주 등에 총 5200만 달러를 지급하기로 했으며, FTC와의 합의에 따라 향후 수년간 포괄적인 정보보안 프로그램을 구축하고 정기적으로 독립 평가를 받아야 하는 의무를 지게 됐다. 이로써 2018년 처음 공개된 이후 약 6년간 이어진 메리어트 데이터 유출 사건의 법적 절차는 사실상 마무리됐다. 이번 합의는 기업의 인수합병 과정에서 보안 실사 책임을 명확히 한 대표 판례로 평가받는다. 메리어트는 성명을 통해 그간의 보안 투자 확대를 강조했다.