FTC, 2,400만 건의 모기지 파일이 1년간 온라인에 노출된 후 Ascension과 합의

2022-01-05 TechCrunch는 FTC가 텍사스에 본사를 둔 모기지 데이터 분석 회사 Ascension과 2019년 보안 사고에 대해 합의를 승인했다고 보도했다. 이 사고로 수백만 건의 민감한 모기지 문서가 노출되었다. 노출은 Ascension이 서면 문서를 컴퓨터가 읽을 수 있는 텍스트로 변환하기 위해 고용한 뉴욕의 업체 OpticsML에서 비롯되었으며, 이 업체는 데이터베이스를 IP 주소를 아는 누구나 접근할 수 있도록 열어두었다.

노출된 캐시에는 약 2,400만 건의 기록이 있었으며, 여기에는 이름, 생년월일, 사회보장번호, 은행 계좌 정보, 대출 계약서, 신용 파일, 운전면허 번호가 포함되어 있었다. FTC는 6만 명 이상의 미국인이 영향을 받았으며, 데이터베이스가 약 1년 동안 노출된 상태로 50회 이상 접근되었고, 대부분 러시아와 중국에 있는 것으로 보이는 컴퓨터에서 비롯되었다고 밝혔다.

두 위원이 공개적으로 반대 의견을 냈다. Rebecca Kelly Slaughter는 불만 사항이 '규칙 위반만을 주장'할 뿐 혐의를 제기하기에는 부족하다고 주장했고, Rohit Chopra는 Ascension이 아닌 모회사인 Rocktop Partners와 합의한 것을 비판하며 합의가 '책임 있는 회사를 식별하는 데 있어 목표를 빗나갔다'고 말했다. FTC 의장 Lina Khan은 불만 사항 제기 이후 합류했기 때문에 참여하지 않았다.

이름, 사회보장번호, 은행 세부 정보가 포함된 2,400만 건의 기록이 노출되었다. 6만 명 이상의 미국인이 영향을 받았다. 데이터베이스는 50회 이상 접근되었으며, 대부분 러시아와 중국에서 비롯되었다

Ascension은 업체의 데이터 보호 조치를 보장하지 않은 채 민감한 모기지 파일을 업체에 넘겼다

노출된 데이터베이스는 비밀번호가 필요 없었고 약 1년 동안 열려 있었다

수백만 명의 미국인의 금융 생활이 공개된 상태로 방치된 동안, 해외에서 비롯된 다수의 접근이 감지되지 않았다

업체의 열린 데이터베이스는 곧 귀사의 침해이다. 세이프가드 규칙(Safeguard Rule)을 시행하지 않은 채 규제 대상 데이터를 공급망 아래로 넘기면 FTC 명령으로 끝난다

2022-01-05 기준 Ascension은 자사 및 업체의 보안 관행을 시정하라는 FTC 명령을 받았으며 벌금은 없었고, FTC 내부 비판자들은 여전히 모회사에 대한 혐의 제기를 압박하고 있었다.