버진 미디어, 마케팅 데이터베이스를 10개월간 방치 — 90만 명 정보 노출

영국 최대 케이블 및 통신 사업자 중 하나인 버진 미디어는 마케팅 데이터베이스를 잘못 구성하여 승인 없이 접근할 수 있는 상태로 두었다. 이 구성 오류는 약 10개월 동안 발견되지 않았다. 2020년 3월 회사는 약 90만 명이 영향을 받았다고 공개했으며, 여기에는 해당 고객 기반의 약 15%를 차지하는 유선 전화 고객이 포함되었다.

노출된 데이터는 연락처 정보였다: 이름, 자택 및 이메일 주소, 전화번호. 버진 미디어는 데이터베이스에 비밀번호나 신용카드 번호, 은행 계좌 번호 같은 금융 정보는 없었다고 밝혔다. 회사는 문제를 인지한 후 데이터베이스 접근을 차단했고, 정보위원회(Information Commissioner's Office)에 계속 상황을 알렸다고 말했다.

이 사건은 대형 유출 사고에 비하면 규모가 작지만, 그 발생 방식은 흔한 유형이다. 데이터베이스가 해킹된 것이 아니라 개방된 채로 방치된 것이다. 구성 실수가 1년 가까이 감시 없이 방치되었고, '설정'과 '점검' 사이의 공백이 거의 100만 명 고객의 개인정보 노출로 이어졌다.

이번 유출은 해킹이 아니라 감시되지 않은 구성 오류였다. 해결책은 접근을 차단하는 것이었지만, 대가는 거의 100만 명 고객의 데이터 노출이었다.

마케팅 데이터베이스가 잘못 구성되어 승인 없이 접근할 수 있었다.

이 구성 오류는 약 10개월 동안 발견되지 않았기 때문에, 누군가 점검하기 전까지 노출 기간이 길었다.

데이터베이스에는 약 90만 명의 연락처 정보, 즉 이름, 자택 및 이메일 주소, 전화번호가 들어 있었다.

어떤 모니터링이나 접근 검토도 개방된 데이터베이스를 발견하지 못했다. 이번 실패는 정교한 공격이 아니라 점검이 없었다는 데서 비롯되었다.

고객 데이터에는 이를 점검할 책임자가 필요하다. 버진 미디어의 마케팅 데이터베이스는 누군가 알아차리기 전까지 10개월 동안 잘못 구성된 채로 방치되었다. 이번 유출은 '구성'과 '감시' 사이의 공백이었다.

버진 미디어는 데이터베이스 접근을 차단하고, 영향을 받은 고객에게 연락했으며, 영국 정보위원회에 계속 상황을 알렸다. 금융 데이터나 비밀번호가 노출되지 않았기 때문에 고객에 대한 즉각적인 피해는 제한적이었지만, 이 사건은 데이터 유출이 보통 어떻게 일어나는지를 보여주는 교과서적 사례로 인용된다. 즉, 교묘한 침입이 아니라 아무도 지켜보지 않는 잘못 구성된 시스템을 통해서다.