메디뱅크(Medibank) 해킹과 970만 고객정보 다크웹 유출 사태

호주 최대 민간 건강보험사 메디뱅크가 자사 네트워크에서 랜섬웨어 공격의 전조와 일치하는 비정상 활동을 포착했다고 호주증권거래소에 공시했다. 회사는 즉시 일부 고객 대상 시스템에 대한 접근을 차단하고 주식 거래 일시정지를 요청했다. 최고경영자 데이비드 코츠카는 당시 민감한 고객 데이터에는 접근이 이뤄지지 않은 것으로 보인다고 밝혔다. 그러나 이 초기 진단은 며칠 뒤 완전히 뒤집혔다. 이 발표는 호주 역사상 최악의 개인정보 유출 사태 중 하나로 기록될 사건의 시작이었다.

공격자가 메디뱅크에 직접 연락해 탈취한 고객 데이터를 두고 협상을 시도하면서 사태가 급격히 악화됐다. 메디뱅크는 뒤이은 조사에서 유출 사실을 인정했고, 11월 9일에는 이름·생년월일·이메일·여권번호 등 약 970만명에 달하는 현재·과거 고객 및 대리인의 개인정보가 유출됐다고 공식 확인했다. 이는 호주 인구의 3분의 1이 넘는 규모로, 회사가 애초 발표했던 "민감정보 미접근" 설명과 정면으로 배치됐다. 유출 정보에는 진료 청구 관련 일부 의료 데이터도 포함된 것으로 파악됐다. 규제당국과 정치권은 즉각 메디뱅크의 초기 대응에 강한 우려를 표명했다.

메디뱅크는 해커가 요구한 몸값 지급을 거부한다고 공식 발표했다. 해커들은 처음 1000만달러, 이후 고객 1인당 1달러 꼴인 970만달러로 액수를 낮춰 협박했으나 회사는 몸값 지급이 추가 범죄를 부추길 뿐 데이터 삭제를 보장하지 않는다는 호주 정부 방침에 따라 지급하지 않기로 했다. 이 결정은 이후 대규모 데이터 공개로 이어지는 직접적 계기가 됐다. 회사는 대신 사이버보안 전문가·법 집행기관과 공조를 강화하겠다고 밝혔다. 호주 연방경찰은 이 사건에 러시아 기반 랜섬웨어 조직이 연루된 것으로 보고 수사를 확대했다.

몸값 지급 거부 하루 만에 랜섬웨어 조직은 다크웹 포럼에 24시간 내 데이터 전면 공개를 예고했고, 곧이어 마약중독·임신중절·성병 치료 등 극도로 민감한 진료 이력을 담은 데이터를 선별적으로 게시하기 시작했다. 공격자들은 고객들에게 심리적 압박을 가하기 위해 의도적으로 자극적인 항목부터 공개하는 전략을 택했다. 피해자들 사이에서는 사생활 노출에 대한 공포와 함께 회사에 대한 분노가 확산됐다. 호주 정부는 이례적으로 해당 다크웹 게시물 열람 자체를 범죄로 간주할 수 있다고 경고했다. 이 사건은 랜섬웨어 협박의 새로운 잔혹성을 보여준 사례로 국제적 주목을 받았다.

랜섬웨어 조직은 남아 있던 고객 데이터 전체를 다크웹에 무더기로 공개하며 "사건 종결"이라는 조롱 섞인 메시지를 게시했다. 최종 유출된 데이터에는 이름, 주소, 생년월일, 전화번호, 메디케어 번호, 여권번호와 일부 진료 청구 정보가 포함됐다. 이로써 970만명에 달하는 피해자들의 정보가 사실상 전량 인터넷에 노출된 상태가 됐다. 메디뱅크는 피해 고객에게 신원도용 모니터링 서비스를 제공하겠다고 밝혔지만 근본적 피해를 되돌릴 수는 없었다. 이 사건은 이후 호주 개인정보보호법 개정 논의를 촉발하는 계기가 됐다.

국제 로펌 베이커앤드맥켄지는 메디뱅크를 상대로 호주 연방법원에 소비자 집단소송을 제기했다. 이 소송은 호주 대형 소송펀드 옴니브리지웨이의 자금 지원을 받아 진행됐으며, 이후 여러 로펌이 각각 제기했던 유사 소송들이 이 소송으로 통합됐다. 원고 측은 메디뱅크가 고객 개인정보를 적절히 보호하지 못해 손해를 입혔다며 손해배상을 청구했다. 이는 2022년 발생한 옵터스·메디뱅크 연쇄 유출 사태 이후 호주에서 제기된 가장 큰 규모의 데이터 유출 집단소송 중 하나로 꼽혔다. 이 소송은 이후 진행된 정부 규제기관의 소송과는 별개로 병행 진행됐다.

호주 정부는 미국·영국과 공조해 이번 공격의 핵심 배후로 지목된 러시아 국적 해커 알렉산드르 예르마코프에게 사이버 제재를 부과했다고 발표했다. 이는 호주가 특정 개인을 사이버 공격 가해자로 공개 지목하고 제재를 부과한 최초 사례였다. 예르마코프는 랜섬웨어 조직 레빌(REvil) 계열과 연계된 인물로 지목됐으며, 그의 자산 접근과 여행이 제한됐다. 페니 웡 외교장관은 그를 "비겁하고 저열한" 범죄자라고 강하게 비판했다. 러시아 정부는 자국민에 대한 인도 요청에 응하지 않고 있어 실질적 신병 확보는 이뤄지지 않았다.

호주 개인정보위원회(OAIC)는 메디뱅크가 2021년 3월부터 2022년 10월 침해 시점까지 고객 개인정보를 합리적으로 보호하지 못해 개인정보보호법을 위반했다며 연방법원에 민사 제재 소송을 제기했다. OAIC는 메디뱅크가 970만명의 사생활을 "심각하게 침해"했다고 주장하며, 위반 건당 최대 222만달러의 과징금이 부과될 수 있다고 밝혔다. 이는 호주에서 개인정보보호법 위반과 관련해 제기된 가장 큰 규모의 소송 중 하나로 꼽혔다. 메디뱅크는 소송에 방어적으로 대응하겠다는 입장을 밝혔다. 이 소송 결과에 따라 향후 호주 기업들의 데이터 보안 투자 기준이 달라질 것으로 전망됐다.

메디뱅크는 2024회계연도 실적 발표에서 유출 사태 대응에 든 비경상적 비용이 3980만달러에 달했다고 공개했다. 이는 전년도 4640만달러에 이은 2년 연속 대규모 지출로, 누적 지출액은 8620만달러까지 늘어났다. 회사는 정보보안 강화 작업이 2025년 중반까지 이어지면 총비용이 1억2600만달러에 이를 것으로 전망했다. 비용에는 정보기술 보안 강화, 법률 대응, 규제 조사 대응 인력 비용 등이 포함됐다. 이는 대형 데이터 유출 사고가 기업에 얼마나 장기적인 재무적 부담을 남기는지 보여주는 사례로 꼽혔다.

호주 정부는 메디뱅크 공격에 사용된 서버 인프라를 제공한 러시아 호스팅업체 Z서버스와 소유주 알렉산드르 볼샤코프 등 관련자 5명에게 추가 사이버 제재를 부과했다고 발표했다. 외교·국방·내무장관 합동 성명은 이들이 탈취 데이터의 유출·게시에 사용된 서버망을 제공하며 범행을 실질적으로 도왔다고 설명했다. 이번 제재로 이들의 자산 거래는 최대 징역 10년형에 처해질 수 있는 범죄로 규정됐다. 호주 연방경찰(AFP)은 이번 조치를 사이버범죄 인프라 제공업체를 겨냥한 국제 공조 단속의 일환이라고 밝혔다. 이는 메디뱅크 사건 발생 이후 두 번째로 나온 정부 차원의 공개 제재 조치였다.