"오리진 에너지 해킹 피해 90만 명 확인"... 개인정보 유출 규모 최종 발표

호주 에너지 대기업 오리진 에너지(Origin Energy)가 최근 발생한 사이버 공격으로 약 90만 명의 현재 및 과거 고객 개인정보가 유출된 사실을 공식 확인했다. 당초 최대 200만 명이 피해를 입었을 가능성이 제기됐지만, 회사의 초기 조사 결과 실제 영향 규모는 이보다 절반 이하로 집계됐다.

오리진 에너지는 29일(현지시간) 고객 공지를 통해 해킹으로 약 90만 명의 고객 데이터가 외부에 접근된 것으로 확인됐다고 밝혔다. 이는 전체 고객 약 480만 명 가운데 일부에 해당하며, 초기 외신 보도에서 언급된 200만 명보다 적은 규모다.

프랭크 칼라브리아(Frank Calabria) 최고경영자(CEO)는 해커가 7월 2일 처음 회사에 접촉해 공격 가능성을 알렸다고 설명했다.

그는 "당시 확보한 정보만으로는 신뢰할 수 있는 위협이라고 판단하지 않았다"며 "지난주 수요일 추가 증거가 제공된 이후 실제 보안 사고로 인식했고 즉시 대응에 나섰다"고 말했다.

이어 "회사는 평소에도 수많은 사이버 위협을 접수하고 있으며 모두 심각하게 검토한다"면서도 "이번 사건은 해커가 추가 정보를 제공한 뒤에야 실제 침해 사실을 확인할 수 있었다"고 덧붙였다.

이번 사고로 영향을 받은 고객의 경우 유출된 정보에는 이름, 주소, 생년월일, 전화번호, 계정 정보와 함께 신용카드 마지막 4자리 또는 은행 계좌번호 마지막 3자리가 포함될 수 있다.

다만 오리진 에너지는 일부만 노출된 금융 정보만으로는 결제나 계좌 접근이 불가능하다고 강조했다.

칼라브리아 CEO는 현재까지 고객 정보가 다크웹(Dark Web)에 공개된 정황은 확인되지 않았다며, 사건이 형사 수사 중인 만큼 구체적인 내용은 더 이상 공개할 수 없다고 밝혔다.

그는 별도 성명을 통해 "고객 여러분께 진심으로 사과드린다"며 "고객이 오리진에 보내준 신뢰와 개인정보 보호의 중요성을 결코 가볍게 여기지 않는다"고 말했다.

이어 "현재 가장 중요한 과제는 피해 고객 지원"이라며 "정보가 유출된 고객들에게 개별적으로 연락해 필요한 지원 서비스를 제공하고 있다"고 설명했다.

오리진 에너지는 지난주 이번 해킹 사실을 처음 공개하면서 호주 사이버보안센터(Australian Cyber Security Centre·ACSC)와 호주연방경찰(Australian Federal Police·AFP)에 즉시 신고했다. ACSC는 호주 정부의 국가 사이버보안 대응 기관으로, 주요 해킹 사건 대응과 피해 분석을 담당한다.

사건 초기에는 자신을 해커라고 주장한 인물이 호주 언론사 디 오스트레일리안(The Australian)에 고객 정보 50건을 샘플로 전달하며, 이름과 이메일, 주소, 생년월일, 전화번호, 요금 청구 내역 등이 포함된 자료를 공개했다. 이 인물은 오리진 에너지 고객 200만 명의 데이터를 확보했지만 회사가 자신들의 경고를 무시했다고 주장한 바 있다.

오리진 에너지는 시장과 고객들에게 즉시 사고 사실을 알렸으며, 현재는 개인정보 유출 피해 고객을 위해 신원 도용 방지 서비스와 전문 사이버 보안 지원 서비스를 제공하고 있다고 밝혔다. 또한 이번 사건은 현재 관계 당국의 형사 수사가 진행 중인 만큼 조사에 적극 협조하고 있다고 덧붙였다.