2024년 10월, 공격자가 자비에르 니엘의 일리아드 그룹 산하 두 통신 계열사인 프리와 프리 모바일의 정보 시스템에 침투해 2400만 건의 가입자 계약 개인정보에 접근했다. 여기에는 두 서비스를 모두 이용한 고객의 은행 계좌 번호(IBAN)도 포함됐다. 프랑스 소비자 브랜드 대상 유출 사고 중 최대 규모 중 하나였다. 해당 고객 중 2500명 이상이 데이터 보호 규제 기관인 CNIL에 불만을 제기했다.
CNIL은 2026년 1월 13일 결정을 내리며 두 회사에 총 4200만 유로의 과징금을 부과했다. 프리 모바일이 2700만 유로, 프리가 1500만 유로였다. 규제 기관의 판단은 해킹 자체를 넘어섰다. 프리 모바일은 정당한 이유가 있는 기간보다 훨씬 오래 수백만 건의 가입자 기록을 보관해, 데이터를 필요한 기간만 보유해야 한다는 GDPR 규정을 위반했다는 것이다. 보관량이 클수록 유출 규모도 커졌다.
보안 결함은 구체적이었다. 시스템 접근에 사용된 VPN은 충분히 견고하게 인증되지 않았고, 이상 행위를 탐지하기 위한 도구는 작동하지 않았으며, 기밀성을 보호하는 조치도 미흡했다. 즉, 데이터는 과도하게 수집됐고 충분히 보호되지 않았다.
그다음에 나온 부분이 이 사건을 단순한 IT 사고가 아닌 브랜드 실패로 만든 대목이다. CNIL은 프리가 유출 사실을 알리는 이메일에서 사람들이 알아야 할 정보를 빠뜨렸다고 판단했다. 그 이메일은 고객이 결과를 이해하고 스스로를 보호하기 위해 무엇을 해야 하는지 알 수 있게 하지 못했다. 2400만 고객의 은행 정보를 보유하고도 무엇이 유출됐는지 명확히 알리지 못한 회사는 방화벽만이 아니라 고객과의 관계에서도 실패한 것이다.
비용은 얼마였나
CNIL은 과도한 보관, 취약한 보안, 그리고 고객에게 필요한 안내를 주지 못한 유출 통지 이메일을 이유로 프리와 프리 모바일에 총 4200만 유로의 과징금을 부과했다.
왜 일어났나
데이터는 과도하게 수집되고 과도하게 보관됐다. 프리 모바일은 보유할 정당한 근거가 없는 수백만 건의 기록을 보관했고, 그래서 공격자가 침입했을 때 탈취 규모는 설계상 막대했다.
기본 보안은 취약하게 방치됐다. 인증이 불충분한 VPN과 효과 없는 모니터링이 문을 열어두었고, 이번 유출은 정교했다기보다 저항 없이 이뤄졌다.
통지는 고객에게 실패했다. 유출 이메일은 사람들이 위험을 이해하고 스스로를 보호하는 데 필요한 내용을 빠뜨려, 보안 사고를 신뢰 사고로 바꿔놓았다.
규제 기관은 데이터 관리 책임을 브랜드 의무로 취급했다. CNIL은 보안, 보관, 공개라는 전체 실패에 4200만 유로라는 값을 매겼다. 고객 데이터를 보유하는 것은 고객 신뢰를 보유하는 일이다.
교훈
필요한 고객 데이터만 수집하고, 필요 없으면 삭제하며, 남은 데이터를 철저히 보호하라. 이제 규제 기관은 유출을 사고가 아니라 고객 관계의 위반으로 값을 매기기 때문이다.
후속 상황
2026년 1월 13일 CNIL의 두 결정은 총 4200만 유로로, 프랑스 데이터 보호 제재 중 비교적 큰 규모에 속하며, 영향을 받은 가입자 2500명 이상의 불만 제기 이후 나왔다. 기존 사업자를 저가로 공략해 브랜드를 세운 프리에게 이번 결정은 규모에 또 다른 종류의 비용을 붙였다. 가입자를 더 많이 확보할수록, 그들의 데이터가 노출됐을 때 더 많은 책임을 지게 된 것이다.
근거 확인하기