카파제미니 엔지니어의 한 글자 편집으로 레이저 데이터 유출, 법원이 650만 달러 배상 판결

레이저는 2019년 IT 컨설팅 업체 화이트스카이 랩스에 자사의 디지털 커머스 플랫폼 업그레이드를 맡겼고, 카파제미니는 2020년 6월 화이트스카이를 인수하면서 그 의무를 이어받았다. 카파제미니는 레이저에 ELK 스택(엘라스틱서치, 로그스태시, 키바나) 사용을 권고했었다. 2020년 6월 17일 또는 18일, 레이저 직원들이 키바나에 로그인하지 못하자 카파제미니 직원 한 명이 문제 해결을 요청받았다. 레이저 측은 그가 보안과 접근을 제어하는 엘라스틱서치 서버의 설정 파일에 '#' 명령을 추가했고, 그로 인해 키바나에 인증 없이 접근할 수 있게 됐다고 주장했다.

보안 연구원 밥 디아첸코는 2020년 8월 19일 레이저에 노출 사실을 알렸고, 이후 약 10만 명의 고객이 영향을 받은 것으로 추정했다. 전 세계 수천 명 고객의 배송 및 주문 정보가 노출된 이 유출 사고는 2020년 9월 널리 보도됐다. 레이저는 카드 번호와 비밀번호는 안전했다고 밝혔다. 해당 직원은 9월 10일 '#'을 제거해 문제를 해결했다.

카파제미니는 잘못된 설정을 초래했다는 점을 부인하며, 로그인 문제 해결은 자사 업무 범위 밖이고 스택은 레이저가 관리했다고 주장했다. 2022년 7월 재판 6일째에 그 직원은 자신이 원인을 초래했음을 인정했다. 2022년 12월 리 시우 킨 판사는 해당 작업이 계약상 업무 범위에 속하며 카파제미니가 의무를 위반하고 과실이 있다고 판단해 레이저에 650만 달러를 배상하라고 판결했다. 대부분은 레이저닷컴의 이익 상실액 610만 달러였고, 여기에 포렌식 비용 약 6만 달러와 규제 당국 대응 법률 비용 32만 달러가 더해졌다.

수천 명의 레이저 고객 배송 및 주문 정보가 유출됐고, 법원은 레이저에 650만 달러(싱가포르 달러 870만)를 배상하라고 판결했으며 대부분은 610만 달러의 이익 상실액이었다.

로그인 문제를 해결하는 과정에서 키바나 애플리케이션의 접근 제어를 강제하던 설정이 주석 처리됐다.

이 변경은 공급업체 직원이 했고 검토 과정에서 걸러지지 않은 것으로 보이며, 노출은 수 주 동안 발견되지 않았다.

카파제미니는 처음에 책임을 부인하며 해당 작업이 업무 범위 밖이라고 했으나, 재판에서 자사 직원이 변경을 인정했다.

법원은 로그인 지원이 카파제미니가 합의한 업무 범위에 속한다고 판단했다.

로그인 문제를 급히 고치다 보면 인증이 꺼질 수 있다. 공급업체는 변경 검토를 철저히 해야 하고, 고객은 보안 설정의 책임 소재를 명확히 하는 업무 범위를 정해야 한다.

레이저는 2022년 12월 9일 소송에서 승소해 싱가포르 고등법원으로부터 650만 달러의 손해배상을 받았다. 법원은 고객 문의를 통해 이 사건이 레이저닷컴에서 구매하려는 의향을 감소시켰음이 드러났다는 점을 받아들였다.