MobiKwik, 1억 1천만 사용자 데이터 유출 의혹에 부인과 법적 조치로 맞서다

MobiKwik은 인도 최대 모바일 결제 지갑 중 하나로, 인도 규정상 고객이 제출해야 하는 신분 서류, 즉 KYC 정보, Aadhaar 신분 번호, 카드 및 전화번호 데이터를 보관하고 있었다. 2021년 3월 초, 한 보안 연구자는 MobiKwik의 것이라고 주장되는 약 1억 1천만 사용자 분량의 데이터셋이 다크웹 포럼에서 판매되고 있다고 보고했다.

MobiKwik의 대응은 즉각적인 부인이었다. 3월 4일 회사는 보안 침해를 발견하지 못했다고 밝혔고, 법무팀은 해당 연구자에 대해 엄중한 조치를 취하겠다고 말했다. 사용자들이 확인에 나서 유출된 데이터 일부가 진짜로 보인다고 보고하자 사건은 더욱 커졌다. 인도 컴퓨터긴급대응팀(CERT-In)은 데이터 샘플을 MobiKwik에 공유했고, 회사는 그 샘플이 자사 데이터가 아니라고 말했다.

부인만으로는 위기를 수습하지 못했다. 의혹이 공개되고 논란이 되자 인도중앙은행(Reserve Bank of India)은 MobiKwik에 CERT-In 인증 감사관을 통한 시스템 포렌식 감사를 받으라고 명령했다. 신분 데이터를 다루는 결제 회사가 보안 의혹을 규제 당국의 조사로 키운 셈이다.

이 사건은 유출 자체보다 위기 대응 사례로 회자되며, MobiKwik은 계속 유출을 부인했다. 민감한 데이터를 보유한 회사가 유출됐다는 통보를 받았을 때 부인하고 제보자를 위협하면 사용자, 연구자, 규제 당국의 검증을 초래하게 되고, 회사의 부인이 아니라 규제 당국의 감사가 사건의 핵심이 된다.

부인과 법적 위협이 검증을 불러일으켜 RBI가 포렌식 감사를 명령했고, 그 결과 부인이 아니라 감사가 사건의 핵심이 되었다.

MobiKwik은 인도 규정이 요구하는 신분 서류, 즉 KYC와 Aadhaar 데이터를 보관하고 있었기 때문에 어떤 유출 의혹이든 자동으로 중대하고 주목도 높은 사건이 될 수밖에 없었다.

회사의 첫 대응은 투명한 조사보다 연구자에 대한 부인과 법적 위협이었고, 이는 사건을 줄이기는커녕 더 크게 만들었다.

사용자와 CERT-In이 주장을 검증하자 부인은 회피하는 것처럼 보였고, 회사는 데이터를 검증할 수 있는 쪽에 사건의 주도권을 내주었다.

보안 의혹을 제보자와의 싸움으로 바꾼 것이 인도중앙은행을 끌어들였고, 이제 회사는 그 감사를 통과해야 하게 되었다.

민감한 데이터를 보유한 상태에서 유출됐다는 통보를 받으면 부인과 법적 위협은 역효과를 낳는다. 사용자, 연구자, 규제 당국이 이를 검증하게 되고, 부인이 아니라 감사가 사건의 핵심이 된다.

MobiKwik은 시스템이 침해되지 않았다는 입장을 유지하며 RBI가 명령한 감사에 협조했다. 이 사건은 인도에서 데이터 보안 의혹을 어떻게 처리하지 말아야 하는지를 보여주는 널리 가르쳐지는 사례가 되었다. 신분 데이터를 위탁받은 회사에게 유출 주장에 대한 대응 자체가 신뢰의 시험이며, 방어적인 부인은 원래의 의혹보다 더 큰 대가를 치를 수 있다.