티켓마스터, 스노우플레이크 해킹으로 최대 5억6000만 명 고객정보 유출 사건

2024년 4월 2일부터 5월 18일 사이, 해킹 그룹 '샤이니헌터스(ShinyHunters)'를 포함한 위협 행위자들이 클라우드 데이터 플랫폼 스노우플레이크의 고객 계정 인증정보를 도용해 티켓마스터의 데이터베이스에 무단 접근했다. 이들은 인포스틸러 악성코드로 미리 탈취해둔 로그인 정보를 이용했으며, 다중인증(MFA)이 설정되지 않은 계정을 표적으로 삼았다. 이 공격은 티켓마스터 한 곳에 국한되지 않고 스노우플레이크를 이용하는 165개 이상의 기업에 광범위하게 영향을 미쳤다. 공격자들은 장기간 탐지되지 않은 채 대량의 고객 데이터를 빼돌렸다. 이는 2024년 최대 규모의 클라우드발 공급망 해킹 사건 중 하나로 꼽힌다.

티켓마스터의 모회사 라이브네이션은 2024년 5월 23일에야 일부 고객 개인정보가 유출됐을 가능성을 인지했다고 밝혔다. 회사는 미국 증권거래위원회(SEC)에 제출한 공시를 통해 제3자 클라우드 데이터베이스에서 무단 접근 정황이 확인됐다고 신고했다. 공격이 시작된 지 약 7주가 지나서야 탐지가 이뤄진 셈이어서 보안 관리 부실 논란이 일었다. 유출된 정보에는 이름, 주소, 이메일, 전화번호, 신용카드 정보 일부가 포함된 것으로 나타났다. 이는 이후 대규모 집단소송의 핵심 근거가 됐다.

샤이니헌터스는 2024년 5월 28일 다크웹 해킹 포럼에서 티켓마스터 고객 5억6000만 명의 데이터를 50만 달러에 판매한다고 공개했다. 이들은 판매글에서 이름, 주소, 전화번호, 부분 결제정보 등이 포함돼 있다고 주장했다. 같은 조직은 앤하이저부시, 스테이트팜, 산탄데르, 어드밴스오토파츠 등 스노우플레이크를 이용하던 다른 대기업 데이터도 함께 판매를 시도한 것으로 확인됐다. 이 사건은 하나의 클라우드 서비스 침해가 여러 대기업으로 동시다발적으로 번질 수 있음을 보여준 사례로 주목받았다. 보안업계는 이를 2024년 최대 규모의 데이터 유출 사건 중 하나로 평가했다.

티켓마스터는 사고를 인지한 지 약 두 달 가까이 지난 2024년 7월 17일에야 피해 고객들에게 개인정보 유출 사실을 알리는 통지서 발송을 시작했다. 이 같은 늑장 통지는 피해자들이 사기나 신원도용 위험에 미리 대비하지 못하게 만들었다는 비판을 받았다. 회사는 통지서에서 유출 가능성이 있는 정보 항목과 신용 모니터링 서비스 가입 안내를 포함시켰다. 이 사건은 미국 여러 주에서 데이터 유출 통지 의무 관련 법 위반 여부 조사로도 이어졌다. 늦은 고지는 이후 집단소송에서 과실 책임을 강화하는 핵심 쟁점이 됐다.

2024년 여름 미국 전역에서 티켓마스터와 라이브네이션을 상대로 한 다수의 집단소송이 제기됐다. 원고 측은 과실, 준과실, 부당이득, 묵시적 계약 위반 등을 주장하며 최소 500만 달러 규모의 손해배상을 요구했다. 소장에는 티켓마스터가 사이버공격 위험을 사전에 인지하고 있었음에도 합리적인 보안조치를 취하지 않았다는 주장이 담겼다. 캐나다에서도 유사한 집단소송이 별도로 제기됐다. 이 소송들은 이후 다건이 병합돼 연방법원에서 심리가 진행 중이다.

캐나다 당국은 2024년 10월 30일 미국의 요청에 따른 임시 체포영장을 근거로 알렉산더 '코너' 무카를 체포했다. 그는 해킹 활동명 '주디셰(Judische)'와 '와이푸(Waifu)'로 활동하며 스노우플레이크 고객사들을 겨냥한 해킹 캠페인의 핵심 인물로 지목됐다. 공동 공모자로 알려진 존 빈스는 튀르키예에서 별도로 체포됐다. 무카는 이후 2025년 7월 미국으로 신병이 인도됐다. 이번 체포는 스노우플레이크발 연쇄 해킹 사건의 배후를 밝히는 결정적 전환점이 됐다.

미국 법무부는 2024년 11월 5일 무카와 빈스에 대한 봉인 기소장을 공개하며 이들이 스노우플레이크 고객 165개 이상 기업에서 정보를 훔친 혐의를 상세히 밝혔다. 피해 기업에는 티켓마스터 외에도 AT&T, 어드밴스오토파츠, 니먼마커스, 미국 내 대형 학군 등이 포함됐다. 검찰은 이들이 다중인증이 설정되지 않은 계정을 노려 침입한 뒤 피해기업들에 갈취를 시도했다고 설명했다. 이번 기소는 클라우드 서비스 공급망을 노린 대규모 해킹 범죄에 대한 미국 사법당국의 강력 대응 의지를 보여준 사례로 평가된다. 관련 재판은 현재도 진행 중이다.