AT&T, 2024년 두 건의 침해 사고 관련 1억 7,700만 달러 합의, 2026년 10월 최종 승인

2026년 10월 2일, 미국 연방지방법원 시드니 A. 피츠워터 선임판사는 2024년 두 사건에 관한 다지역 소송(MDL)에서 AT&T의 1억 7,700만 달러 합의를 최종 승인했으며, 73쪽 분량의 의견서에서 변호사 보수 5,900만 달러를 인정하고 잔여 기금을 규율하는 사이 프레(cy pres) 절차를 수정했다. 명령이 내려질 당시 이미 약 492만 건의 청구가 접수되어 있었다.

첫 번째 기금은 1억 4,900만 달러 규모로, 법원 서류가 'AT&T 1'로 표기한 사건을 대상으로 한다. 이는 약 7,300만 명의 현·과거 계좌 보유자를 포괄하는 데이터셋으로, 사회보장번호와 계좌 및 은행 관련 정보를 포함하며, 2024년 3월 30일 다크웹에 나타난 후 공개되었다. AT&T는 처음에 해당 데이터셋이 2019년 또는 그 이전에 비롯된 것으로 보이며 자사의 현재 시스템에서 나온 것이 아니라고 밝혔다.

두 번째 기금은 2,800만 달러 규모로, 'AT&T 2'를 대상으로 한다. 이는 Snowflake의 클라우드 플랫폼에서 호스팅된 AT&T 워크스페이스로부터의 무단 다운로드로, 2024년 7월 12일 공개되었으며 전화번호, 통화 및 문자 상호작용 기록, 계좌 소유자 및 사용자 데이터가 노출되었다. 이는 Snowflake 고객을 겨냥한 2024년 광범위한 공격 물결의 일부였다. 두 사건 모두에 해당하는 '중복 회원(Overlap Members)'은 두 기금 모두에 청구할 수 있으나, 동일한 유형의 피해에 대한 이중 배상은 약관상 차단된다.

지급 산정은 냉정하다. 전자 청구 4,163,810건과 서면 청구 754,263건이 보수 및 관리 비용을 제외한 1억 7,700만 달러를 두고 경쟁하므로, '최대 5,000달러'의 입증 손실 상한에도 불구하고 대부분의 계층별 청구인은 수백 달러를 받는다. AT&T 1 기금의 세 계층별 청구 건수는 각각 1,654,046건, 687,859건, 1,582,248건이었다.

두 기금에 걸친 1억 7,700만 달러 합의(1억 4,900만 달러 및 2,800만 달러)에 더해, 이와 함께 승인된 변호사 보수 5,900만 달러.

사회보장번호를 포함해 약 7,300만 명의 현·과거 계좌 보유자를 포괄하는 데이터셋이 AT&T의 통제를 벗어나 있었고 다크웹에 나타났다.

통화 및 문자 메타데이터는 Snowflake 고객 환경을 겨냥한 2024년 캠페인에서 습격당한 제3자 Snowflake 워크스페이스에 있었다.

해당 오래된 데이터셋이 AT&T의 현재 시스템보다 앞선 것이라는 항변은 합의가 두 사건 모두를 보상 대상으로 취급하는 것을 막지 못했다.

판사는 합의가 피해자들을 부당하게 대우했다는 이의를 기각하고, 대부분의 청구인이 수백 달러씩을 받게 되는 구조를 승인했다.

법원은 이제 침해가 공급업체의 클라우드에서 발생했다는 이유로 이를 경시하지 않는다. 워크스페이스 습격과 레거시 유출은 별개의 보상 대상 사건으로 취급되었다.

최종 승인은 최초 공개로부터 약 2년 반 후에 이루어졌으며, 당초 배정된 판사의 회피와 피츠워터로의 재배정으로 지연되었다. 분배는 통상 항소 기간이 종료된 후 최종 승인으로부터 수개월 뒤에 이루어진다. 이 민사 합의가 규제 리스크를 끝내지는 않는다. 승인을 다룬 보도만으로는 두 사건 중 어느 것과도 관련된 FCC 또는 주 법무장관의 진행 중인 절차가 확인되지 않으며, 통신 데이터 처리에는 FCC, FTC 및 주 관할권이 중첩적으로 적용된다. 규모 비교를 위해, T-Mobile은 2021년 침해 사고로 3억 5,000만 달러를 지급했다.