노바 스코샤 파워 해킹: 클릭 한 번으로 915,000명의 고객 정보 유출

2025년 4월, 노바 스코샤 파워의 직원 한 명이 악성 팝업을 클릭했습니다. 캐나다 개인정보보호위원회의 조사 결과에 따르면, 그 한 순간만으로도 현재 및 전직 고객 약 915,000명의 개인 정보가 유출되기에 충분했습니다. 이번 침해 사고는 규모가 크고 중요한 인프라를 운영하는 기업조차 소셜 엔지니어링 공격에 면역이 없으며, 여러분의 개인 정보는 그 정보를 보유한 조직 중 가장 취약한 연결 고리만큼만 안전하다는 사실을 냉혹하게 상기시켜 줍니다.

유출된 데이터의 범위

이번 침해로 유출된 정보의 범위는 상당합니다. 피해 고객의 경우 다음과 같은 데이터가 노출되었을 수 있습니다:

  • 성명
  • 전화번호
  • 이메일 주소
  • 우편 주소
  • 생년월일
  • 결제 내역, 청구 내역, 신용 내역을 포함한 고객 계정 이력
  • 은행 계좌 번호
  • 운전면허 번호
  • 사회보험번호(SIN)

이는 단순한 소규모 정보 유출이 아닙니다. 은행 계좌 번호, 사회보험번호, 운전면허 번호의 조합은 악의적인 행위자에게 신분 도용이나 타인의 명의로 사기 계좌를 개설하는 데 필요한 거의 모든 것을 제공합니다. 이 데이터가 전기요금을 내기 위해 거래하는 공익 기업의 시스템에 보관되어 있었다는 사실은, 우리가 평소에 거의 생각하지 않는 수많은 기관에 우리의 민감한 정보가 얼마나 광범위하게 분산되어 있는지를 잘 보여줍니다.

팝업 하나가 전력 회사의 방어를 무너뜨린 방법

이번 공격 방법은 국가가 배후에 있는 정교한 악성코드가 아니었습니다. 우리 대부분이 웹 브라우징 중에 한 번쯤 마주쳤을 악성 팝업이었습니다. 직원 한 명이 그것을 클릭했고, 그것만으로 노바 스코샤 파워의 시스템으로 통하는 문이 열렸습니다.

이것은 가장 기본적인 형태의 소셜 엔지니어링입니다. 공격자들이 항상 방화벽을 뚫거나 암호화를 우회할 필요는 없습니다. 종종 가장 쉬운 경로는 사람을 통한 것입니다. 그럴듯한 팝업, 가짜 로그인 창, 정교하게 만들어진 피싱 이메일은 순식간에 여러 겹의 기술적 보안을 무력화할 수 있습니다.

대형 조직들은 경계 보안에 막대한 투자를 하지만, 사용자 행동은 여전히 통제하기 가장 어려운 변수 중 하나입니다. 예산이나 전문성에 관계없이 어떤 IT 부서도 모든 직원이 매번 올바른 판단을 내릴 것이라고 보장할 수 없습니다. 이는 노바 스코샤 파워 직원들에 대한 비판이 아니라, 이러한 공격이 작동하는 방식의 현실입니다. 공격은 설득력 있게 설계되며, 누군가의 방심한 순간을 노리도록 만들어집니다.

이것이 여러분에게 의미하는 것

현재 또는 과거 노바 스코샤 파워 고객이라면 다음 조치를 진지하게 취해야 합니다:

계정을 모니터링하세요. 은행 명세서와 신용 보고서에서 비정상적인 활동이 있는지 확인하세요. 캐나다에서는 Equifax와 TransUnion에 무료 신용 보고서를 요청할 수 있습니다.

피싱 시도에 주의하세요. 이메일 주소, 이름, 계정 이력이 이미 공격자의 손에 들어갔을 수 있으므로, 매우 개인화된 피싱 이메일의 표적이 될 수 있습니다. 신뢰할 수 있는 출처로 보이는 메시지라도 링크 클릭이나 정보 제공을 요청하는 모든 메시지에 의심을 가지세요.

가능한 모든 곳에 다중 인증(MFA)을 활성화하세요. MFA는 계정에 두 번째 인증 단계를 추가하여, 누군가 비밀번호를 알고 있더라도 계정에 접근하기 훨씬 어렵게 만듭니다.

신용 동결을 고려하세요. 신분 도용이 걱정된다면, 캐나다 신용 조회 기관에 신용 동결을 신청하면 명시적인 승인 없이 본인 명의로 새 계좌가 개설되는 것을 막을 수 있습니다.

앞으로는 데이터 최소화를 실천하세요. 어떤 서비스에 어떤 개인 정보를 제공하는지 신중하게 생각하고, 꼭 필요한 정보만 제공하세요.

더 넓은 관점에서도 한 가지 생각해볼 점이 있습니다: 모든 조직이 여러분의 데이터를 어떻게 저장하고 보호하는지 통제할 수 없습니다. 공익 기업, 보험사, 소매업체, 의료 기관 모두 여러분의 개인 프로필 일부를 보유하고 있습니다. 그 중 하나가 침해되면 그 피해는 여러분에게 돌아옵니다. 바로 그렇기 때문에 자신만의 개인정보 보호 조치를 겹겹이 쌓는 것이 중요합니다. 기업의 침해를 막기 위해서가 아니라, 전반적인 노출을 줄여 침해가 발생했을 때의 피해를 최소화하기 위해서입니다.

개인 정보 보호를 진지하게 받아들이기

노바 스코샤 파워 침해 사고는 자신의 디지털 습관을 점검하는 좋은 계기입니다. hide.me와 같은 VPN을 사용하면 인터넷 트래픽을 암호화하고 IP 주소를 숨겨, 특히 악성 팝업과 피싱 리다이렉트가 더 자주 발생하는 공공 또는 보안이 취약한 네트워크에서 온라인 활동이 관찰되거나 가로채이는 것을 방지하는 데 도움이 됩니다. VPN이 공익 기업의 해킹을 막지는 못하지만, 더 광범위한 개인정보 보호 전략의 실용적인 한 요소가 됩니다.

VPN과 함께 모든 계정에 강력하고 고유한 비밀번호를 사용하고, 제공되는 모든 곳에 MFA를 적용하며, 원치 않는 메시지에 대한 건전한 의심을 갖는다면, 이번과 같은 침해 사고로 인한 많은 2차 위험에 대해 의미 있는 방어 체계를 갖추게 됩니다.

기업들은 계속해서 공격의 표적이 될 것입니다. 직원들은 때로 잘못된 것을 클릭할 것입니다. 문제는 그런 일이 발생했을 때 여러분이 얼마나 준비되어 있느냐입니다.