Conduent 의료 데이터 침해로 1,000만 건의 기록 노출

Conduent Business Services에서 발생한 데이터 침해로 1,000만 명 이상의 민감한 개인 정보 및 의료 정보가 노출되었으며, 이는 미국 역사상 최대 규모의 의료 데이터 침해 사건 중 하나로 기록되고 있습니다. 현재 해당 회사를 상대로 수십 건의 집단 소송이 제기되고 있으며, 원고들은 과실 및 지연 통보를 주요 혐의로 주장하고 있습니다. 만약 피해를 입으셨다면, 지금 무슨 일이 일어났는지 파악하고 어떤 조치를 취해야 할지 이해하는 것이 그 어느 때보다 중요합니다.

Conduent 침해 사건의 경위

법원 서류 및 San Antonio Express-News의 보도에 따르면, 이번 침해는 2024년 10월 21일부터 2025년 1월 13일까지 약 3개월에 걸쳐 발생했습니다. 이 기간 동안 공격자들은 정부 및 의료 고객의 데이터 처리를 담당하는 기술·비즈니스 서비스 기업인 Conduent Business Services의 시스템에 접근했습니다.

탈취된 데이터에는 성명, 자택 주소, 생년월일, 사회보장번호 등 극도로 민감한 개인 식별 정보가 포함되어 있습니다. 피해자 중 수백만 명은 텍사스 주민이지만, 피해는 여러 주에 걸쳐 있습니다. 노출된 데이터의 조합은 신원 도용, 허위 계좌 개설, 허위 세금 신고에 필요한 정보를 모두 담고 있어 특히 위험합니다.

통합 소송에서 가장 최근에 제출된 수정 소장은 2026년 3월 18일에 접수되었으며, 원고 측 변호인들은 Conduent가 데이터를 충분히 보호하지 못했고 피해자들에게 적시에 통보하지 않았다고 주장하고 있습니다.

소송이 사상 최대 배상으로 이어질 수 있는 이유

대규모 데이터 침해와 관련된 집단 소송은 역사적으로 상당한 합의금을 이끌어낸 사례가 많습니다. Conduent 사건은 몇 가지 이유에서 특히 주목받고 있습니다.

첫째, 그 규모가 엄청납니다. 1,000만 명 이상의 피해자를 감안하면, 1인당 소액의 합의금만 책정되더라도 총 지급액은 수억 달러에 달할 수 있습니다. 둘째, 지연 통보 혐의는 법적으로 중요한 의미를 지닙니다. 미국 대부분의 주에는 기업이 정해진 기간 내에 피해자에게 통보하도록 규정하는 침해 통보법이 있으며, 이를 위반할 경우 법적 책임이 크게 증가할 수 있습니다.

셋째, Conduent는 정부 운영 프로그램을 위한 제3자 처리 업체로서 공공 의료 혜택 수급자와 같이 가장 취약한 계층의 데이터를 보유하고 있습니다. 침해 피해가 경제적 여건이 어려운 사람들에게 미칠 경우, 법원과 배심원단은 역사적으로 더욱 엄격한 판단을 내려왔습니다.

소송 건수는 계속 늘어나고 있으며, 법조계 관계자들은 이 사건들이 단일 다지구 소송 절차로 통합될 것으로 예상하고 있습니다. 결과가 기록을 세울지 여부는 과실 여부와 회사의 통보 일정에 대한 법원의 판단에 달려 있습니다.

이 사건이 여러분에게 의미하는 것

Conduent 또는 Conduent를 통해 혜택을 관리하는 주 기관으로부터 통보를 받으셨다면, 귀하의 데이터가 이번 침해에 포함되었을 수 있습니다. 아직 통보를 받지 못하셨더라도, 지금 당장 예방 조치를 취하는 것이 바람직합니다.

가장 즉각적인 위험은 신원 도용입니다. 사회보장번호와 주소, 생년월일이 결합되면 금융 기관, 국세청(IRS), 또는 정부 혜택 프로그램에서 귀하를 사칭하는 데 필요한 모든 정보가 갖춰지게 됩니다. 다음과 같은 조치를 취하시기 바랍니다:

  • 3대 신용 평가 기관(Equifax, Experian, TransUnion) 모두에 신용 동결을 신청하십시오. 신용 동결은 무료이며, 귀하의 직접 승인 없이 새로운 신용 계좌가 개설되는 것을 방지합니다.
  • 사기 경보를 설정하십시오. 사기 경보는 추가적인 보호 수단으로, 채권자가 신용을 제공하기 전에 신원을 추가로 확인하도록 요구합니다.
  • 금융 계좌를 면밀히 모니터링하십시오. 낯선 거래나 본인이 개설하지 않은 새로운 계좌가 없는지 주의 깊게 살펴보십시오.
  • 피싱 시도에 주의하십시오. 탈취된 데이터를 구매한 범죄자들은 실제 개인 정보를 활용해 정상적인 것처럼 보이는 표적형 피싱 이메일이나 전화로 후속 공격을 가하는 경우가 많습니다.
  • ssa.gov에서 사회보장 명세서를 확인하십시오. 누군가 귀하의 정보를 이용해 혜택을 신청하지 않았는지 확인하십시오.

이번 침해는 네트워크를 통해 이동 중인 데이터를 누군가가 가로챈 것이 아니라는 점도 주목할 필요가 있습니다. 침해는 기업 데이터베이스 내부에서 발생했습니다. VPN을 포함한 어떠한 개인 정보 보호 도구도 이번 침해를 막거나 Conduent 시스템에 저장된 기록을 보호하지 못했을 것입니다. 이 차이가 중요한 이유는, 실제 위협을 정확히 이해해야 올바르게 대응할 수 있기 때문입니다. 신용 동결, 사기 모니터링, 피싱에 대한 세심한 주의가 이 상황에 적합한 대응 수단입니다.

규제 산업에서도 데이터 보안은 여전히 실패한다

Conduent 침해 사건이 주는 가장 뼈아픈 교훈 중 하나는, 고도로 규제된 산업에서 운영된다고 해서 데이터가 안전하다는 보장이 없다는 것입니다. 의료 및 정부 서비스 분야는 엄격한 연방 및 주 차원의 개인정보 보호 규정을 적용받음에도 불구하고, 이 같은 대규모 침해는 계속해서 발생하고 있습니다. 제3자 벤더와 데이터 처리 업체들은 여러 고객의 기록을 한데 모아두기 때문에 공격자들의 고가치 표적이 되며, 점점 더 빈번한 공격 대상이 되고 있습니다.

이것이 체념을 권하는 말은 아닙니다. 개인의 경계심을 강조하는 말입니다. 위에서 소개한 조치들은 실용적이고 효과적이며, 대부분 무료입니다. Conduent 사건은 앞으로 수년간 법정 공방이 이어질 것이며, 피해자들은 결국 보상을 받을 수도 있습니다. 그동안 지금 당장 조치를 취하는 것이 노출된 정보로 인한 피해를 최소화하는 길입니다.

개인 데이터가 어떻게 수집, 저장되고 잠재적으로 노출되는지 더 자세히 알고 싶으시다면, [데이터 브로커가 개인 정보를 수집하고 판매하는 방법]에 관한 가이드가 유용한 출발점이 될 것입니다. 이동 중인 민감한 정보에 무슨 일이 일어나는지 궁금하신 분들은 [암호화의 원리와 적용 범위]에 대해서도 읽어보실 수 있습니다.

Conduent 침해 사건은 기관에 제공한 데이터, 심지어 혜택 프로그램의 일환으로 비자발적으로 제공한 데이터조차 실질적인 위험을 내포하고 있음을 상기시켜 줍니다. 정보를 파악하고 구체적인 보호 조치를 취하는 것이 현재 피해자들이 활용할 수 있는 가장 신뢰할 수 있는 대응책입니다.