야후 30억 계정 대규모 해킹 은폐와 버라이즌 인수가 3.5억 달러 인하

2013년 8월 야후 시스템이 침입당해 당시 존재하던 계정 전체에 해당하는 사용자 정보가 빠져나갔다. 탈취된 정보에는 이름, 이메일 주소, 전화번호, 생년월일, 보안 질문과 답이 포함됐다. 야후는 당시 이 침입을 인지하지 못했고, 사건은 3년 넘게 지난 2016년 말에야 수사기관이 입수한 데이터 파일을 계기로 드러났다. 이후 야후는 피해 규모를 10억 개 계정으로 발표했다가 2017년 10월 30억 개 전체로 정정했다. 이 침해는 인터넷 역사상 최대 규모의 계정 유출로 기록된다.

2014년 12월 국가 배후로 의심되는 공격자가 야후 네트워크에 침투해 수억 개 계정의 정보를 복사해 갔다. SEC 조사에 따르면 야후 정보보안팀은 침해 사실을 며칠 안에 파악했고 내부 고위 인사들에게도 보고가 이뤄졌다. 그러나 이 정보는 법무팀과 감사인, 투자자에게 제대로 전달되지 않았고 야후는 약 2년 동안 공시를 하지 않았다. 이 침묵은 훗날 SEC가 야후를 제재하는 핵심 이유가 됐다. 사고 자체보다 은폐에 가까운 대응이 사건을 더 키운 셈이다.

2016년 7월 25일 버라이즌은 야후의 인터넷 핵심 사업을 약 48억 달러에 인수하기로 합의했다. 마리사 메이어 CEO 체제에서 쇠퇴하던 야후는 이 거래로 사업을 정리하고 알리바바 지분 등은 별도 법인에 남기는 구조를 택했다. 이 시점에 야후는 2014년 침해를 이미 알고 있었지만 인수 계약 단계에서 그 사실이 충분히 공개되지 않았다는 비판을 받았다. 이후 침해가 잇따라 공개되면서 거래의 전제가 흔들렸다. 인수 계약서의 보안 사고 관련 조항이 분쟁 쟁점으로 떠올랐다.

2016년 9월 22일 야후는 2014년 말 국가 지원 해커가 최소 5억 개 계정의 정보를 훔쳤다고 공식 발표했다. 유출 정보에는 이름, 이메일, 전화번호, 생년월일, 해시된 비밀번호, 보안 질문과 답이 들어 있었다. 은행 계좌나 카드 정보는 포함되지 않았다고 야후는 밝혔다. 이 침해는 8월 초 한 해커가 야후 정보를 판다는 보도가 나온 뒤 내부 조사로 확인됐다. 당시로서는 단일 기업 사상 최대 규모의 유출이었다.

2016년 12월 14일 야후는 2013년 8월에 별도의 침입이 있어 10억 개가 넘는 계정이 영향을 받았다고 추가로 밝혔다. 수사기관이 제공한 데이터 파일을 분석해 확인된 내용으로, 야후는 침입 경로를 특정하지 못했다고 설명했다. 이로써 불과 석 달 전 발표한 5억 계정 유출 기록이 곧바로 깨졌다. 두 건의 침해가 연달아 공개되며 야후의 보안 관리와 공시 지연에 대한 비판이 거세졌고 버라이즌 인수 계약 재협상론이 커졌다.

2017년 2월 21일 야후와 버라이즌은 인수 대금을 기존 약 48억 달러에서 3억5천만 달러 깎은 약 44억8천만 달러로 조정하기로 했다. 아울러 두 회사는 침해와 관련해 발생하는 정부 조사와 소송 등 책임을 나눠 부담하기로 했다. 야후가 보안 사고의 대가를 인수가 인하로 직접 치른 드문 사례였다. 이 합의는 데이터 유출이 기업 가치를 실제로 훼손할 수 있음을 보여 줬다는 평가를 받았다.

2017년 3월 15일 미국 법무부는 2014년 야후 해킹과 관련해 러시아 연방보안국 FSB 요원 드미트리 도쿠차예프와 이고르 수신 등 4명을 기소했다. 나머지 두 명은 해커 알렉세이 벨란과 캐나다에서 체포된 카림 바라토프였다. FSB 요원들이 범죄 해커들을 보호하고 지시하며 대가를 지급해 러시아와 미국 공직자, 언론인의 이메일을 노렸다는 것이 혐의 요지였다. 미국 정부가 러시아 정부 요원을 사이버 범죄로 형사 기소한 것은 처음이었다. 러시아에 있는 세 명은 인도 절차가 없어 신병 확보가 어려웠다.

2017년 6월 13일 버라이즌은 약 44억8천만 달러에 야후 핵심 사업 인수를 마무리했고 마리사 메이어는 CEO직에서 물러났다. 야후 이사회는 침해 대응 부실의 책임을 물어 메이어의 2016년과 2017년 보너스를 지급하지 않았다. 법무총괄 로널드 벨도 회사를 떠났다. 인수되지 않은 나머지 법인은 알타바로 이름을 바꿔 알리바바와 야후재팬 지분을 보유하는 투자회사가 됐다. 이로써 한때 인터넷 대표 기업이던 야후는 사실상 해체됐다.

2017년 10월 3일 버라이즌 산하 오스 소속 야후는 2013년 8월 침해가 당시 존재하던 모든 계정 약 30억 개에 영향을 줬다고 밝혔다. 이는 앞서 발표한 10억 개의 세 배였다. 인수 후 외부 포렌식 전문가와 함께 새로 확보한 정보를 조사한 결과였다. 이미 버라이즌이 오스 브랜드 광고를 시작한 직후여서 인수사에게도 곤혹스러운 발표였다. 이 정정으로 야후 침해는 사상 최대 규모의 계정 유출로 굳어졌다.

2018년 4월 24일 미국 증권거래위원회 SEC는 야후의 후신 알타바에 3,500만 달러의 과징금을 부과했다. 사이버 침해를 제대로 공시하지 않은 상장사를 SEC가 처음 제재한 사례였다. SEC는 야후가 2014년 12월 침해를 알고도 약 2년간 투자자에게 알리지 않았고 공시 판단을 위한 내부 통제도 갖추지 못했다고 지적했다. 야후는 혐의를 인정하거나 부인하지 않는 조건으로 합의했다. 이후 기업들이 사이버 사고 공시 절차를 정비하는 계기가 됐다.

2020년 7월 21일 캘리포니아 북부 연방법원은 야후 침해 집단소송의 1억1,750만 달러 합의를 최종 승인했다. 앞서 2019년 1월 루시 고 판사가 첫 합의안을 거부했고, 이를 보완한 수정안이 2019년 4월 공개됐다. 합의금에는 피해자 실비 보상과 2년간 신용 모니터링 비용 등이 포함됐다. 야후는 연간 최소 6,600만 달러를 정보보안 예산에 배정하고 풀타임 보안 인력 200명을 두는 등 개선도 약속했다. 이로써 2013년부터 이어진 침해 사건의 주요 법적 책임이 마무리됐다.