콘듀언트 해킹, 생각보다 더 오래 전부터 진행
미 정부 기관 등 IT 서비스 제공...주 정부 기관 등 피해

[보안뉴스 김형근 기자] 정부 및 기업에 IT 서비스를 제공하는 미국 콘듀언트(Conduent)에서 발생한 대규모 데이터 침해가 당초 알려진 것보다 훨씬 전부터 이어진 것으로 확인됐다.

콘듀언트는 메인주 법무장관실에 제출한 신고 서류에서 지난 1월 처음 발견된 것으로 알려진 이 침해 사건이 실제로는 2024년 10월 21일 시작돼 올해 1월 13일까지 무단으로 시스템에 접근한 상태가 지속되었다고 밝혔다. 이는 수개월에 걸친 포렌식 조사 끝에 밝혀진 사실이다.


[자료: 콘듀언트]

주정부 기관 물론 보험사까지 대규모 피해
이 사이버 공격은 침해 사고로 인해 미국 위스콘신주 아동 지원금 지급 지연 사태가 터지면서 지난 1월 처음 공개됐다. 당시 위스콘신을 포함해 최소 네 개 주가 피해를 입은 것으로 알려졌다.

콘듀언트는 주정부 기관들뿐 아니라 보험사, 교통 시스템 운영기관 등 다양한 조직에 결제, 백엔드 처리 같은 핵심 서비스를 제공하는 대형 외주 계약 업체다. 콘듀언트는 4월 이 침해로 “상당수의 개인 정보가 유출되었다”고 공식적으로 밝힌 바 있다.

최근 워싱턴주 건강보험사 프리메라블루크로스(Premera Blue Cross)도 콘듀언트 침해로 인해 영향을 받았음을 공식 확인했다. 유출된 데이터에는 이름, 사회보장번호(SSN), 생년월일, 치료 정보, 청구 번호 등 민감한 정보가 포함될 수 있다.

개인 이름, SSN, 치료 정보 등 민감 데이터 유출
프리메라는 자사 시스템에는 피해가 없었으며, 고객마다 유출된 데이터 유형은 다르다고 해명했다.

콘듀언트는 5월 1분기 실적 보고서에서 이 사고 관련 직접 비용으로 2500만 달러(약 340억 원)를 지출했다고 밝혔다. 현재 팔로알토네트웍스 등 외부 전문업체와 협력하며 사건 대응을 진행하고 있다.

메인주에서는 334명이 피해를 입은 것으로 집계됐다. 그러나 콘듀언트가 전체 피해자 수를 주 법무장관실에 제출하지 않아 정확한 총 피해 규모는 여전히 공개되지 않은 상태다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>