호주 통신사 옵터스, 990만 명 개인정보 대규모 유출 사건

2022년 9월 17일부터 20일 사이, 한 해커가 옵터스의 인증 절차 없이 접근 가능했던 API 엔드포인트를 이용해 고객 데이터베이스에 접근했다. 이 취약점은 2018년 개발자의 접근제어 설정 오류에서 비롯됐으나 오랫동안 발견되지 않은 채 방치돼 있었다. 해커는 사흘에 걸쳐 최대 990만 명에 달하는 현재 및 과거 고객의 정보를 별다른 제지 없이 빼돌렸다. 유출된 정보에는 이름, 생년월일, 주소, 전화번호, 이메일은 물론 여권번호와 운전면허번호까지 포함됐다. 이는 호주 인구의 3분의 1에 해당하는 규모로, 호주 역사상 최대급 개인정보 유출 사고로 기록됐다.

2022년 9월 22일 옵터스는 사이버공격을 받아 고객 개인정보에 무단 접근이 발생했을 가능성이 있다고 공식 발표했다. 회사 측은 정확한 피해 규모를 조사 중이라고 밝혔지만, 이후 조사에서 피해자는 최대 990만 명에 이르는 것으로 확인됐다. 이 발표는 호주 사회에 큰 충격을 줬으며 통신사에 대한 개인정보 보호 신뢰도에 심각한 타격을 입혔다. 정부와 규제당국은 즉각 옵터스에 상세한 경위 설명과 대응 계획을 요구했다. 이 사건은 이후 호주의 개인정보보호법 개정 논의를 촉발하는 계기가 됐다.

2022년 9월 23일 '옵터스데이터(optusdata)'라는 계정을 쓰는 해커가 해킹 포럼 '브리치드'에 탈취한 고객 데이터 일부를 샘플로 공개했다. 이 해커는 옵터스가 몸값 100만 달러를 지불하지 않으면 1100만 명에 달하는 고객 전체의 데이터를 유출하겠다고 협박했다. 이는 단순 정보유출을 넘어 랜섬 협박이라는 새로운 국면으로 사건을 확대시켰다. 옵터스는 몸값 지불 요구에 응하지 않고 호주연방경찰(AFP) 및 정부와 공조 수사에 나섰다. 이 협박은 호주 사회에서 사이버 범죄에 대한 경각심을 크게 높였다.

법 집행기관의 압박이 거세지자 해당 해커는 2022년 9월 27일 몸값 요구를 철회하고 탈취한 데이터를 모두 삭제했다고 주장하는 글을 게시했다. 그는 '너무 많은 시선이 쏠렸다'며 데이터를 판매하지 않겠다고 밝혔고, 이미 유출된 1만200명 분의 정보에 대해서도 사과했다. 그러나 전문가들은 실제 삭제 여부를 확인할 수 없다며 피해자들에게 지속적인 경계를 당부했다. 옵터스는 여권 재발급 비용을 지원하는 등 피해 고객 보호 대책을 시행했다. 이 사건은 이후 옵터스에 대한 정부 차원의 강도 높은 후속 조치로 이어졌다.

호주 내무·사이버보안부 장관 클레어 오닐은 '이런 규모의 보안 침해는 대형 통신사에서 일어나서는 안 될 일'이라며 책임이 전적으로 옵터스에 있다고 공개 비판했다. 연방정부는 2022년 10월 6일 피해 고객의 사기 피해를 막기 위해 면허번호·여권번호·메디케어 정보를 은행 등 금융기관과 임시로 공유할 수 있도록 하는 긴급 규정을 도입했다. 이는 정부가 통신사의 개인정보 유출 사고에 이례적으로 직접 개입한 사례로 평가된다. 정치권에서는 개인정보보호법 위반 시 처벌 수위를 대폭 강화해야 한다는 목소리가 커졌다. 이 사건은 이후 호주의 개인정보보호법 전면 개정 논의의 촉매제가 됐다.

law firm 슬레이터앤고든은 2023년 4월 21일 옵터스를 상대로 연방법원에 집단소송을 제기했다. 이 소송은 개인정보 유출로 피해를 입은 고객들을 대리해 옵터스가 합리적인 보안 조치를 하지 않았다는 과실 책임을 묻는 내용이다. 소송에는 신원도용 위험에 노출된 수백만 명의 고객이 원고로 참여할 것으로 예상됐다. 재판부는 이후 본안 심리 일정을 2027년으로 잡았다. 이는 대형 정보유출 사고에 대한 기업 책임을 묻는 호주 최대 규모의 집단소송 중 하나로 평가된다.

2023년 11월 20일, 2022년 개인정보 유출 사고와 같은 해 11월 발생한 전국 규모 통신망 장애가 겹치며 여론의 압박이 최고조에 달하자 옵터스 CEO 켈리 베이어 로스마린이 사임했다. 모회사인 싱가포르텔레콤(싱텔)은 이 결정을 즉각 수용했다. 로스마린의 사퇴는 두 개의 대형 사고에 대한 경영 책임을 묻는 상징적 조치로 받아들여졌다. 통신망 장애는 응급 서비스 연결 장애까지 초래해 별도의 정부 조사 대상이 되기도 했다. 이는 옵터스의 브랜드 신뢰도에 연쇄적인 타격을 입힌 사건으로 기록됐다.

호주 정보보호위원회(OAIC)는 2024년 옵터스를 상대로 연방법원에 민사 제재 소송을 제기했다. OAIC는 유출 피해를 입은 950만 명의 고객 각각에 대해 개인정보보호법 위반이 성립한다고 주장하며, 위반 건당 최대 220만 호주달러의 벌금을 구할 수 있다고 밝혔다. 이는 옵터스가 합리적인 보안 조치를 취할 법적 의무를 다하지 않았다는 판단에 근거한다. 이 소송이 인용될 경우 호주 역사상 최대 규모의 개인정보보호법 위반 제재가 될 것으로 전망된다. 소송은 현재까지 진행 중이며 아직 최종 판결이 나오지 않았다.