영국 법률구조청(LAA)의 데이터 유출 사고가 당초 보고된 것보다 훨씬 긴 기간에 걸친 것으로 드러났다. LAA는 이제 2025년 공격으로 처음 알려진 것보다 훨씬 오래된 데이터가 노출되었다고 밝혔다. 약 25만 건의 도난 기록이 2007년 이전의 것이며, 가장 오래된 확인된 기록은 1978년으로 거슬러 올라간다.
이 세부 사항은 이야기의 성격을 바꾼다. 이것은 단지 현대적인 시스템에 대한 해킹만의 문제가 아니다. 공공 기관이 얼마나 오랫동안 고도로 민감한 개인 데이터를 보관했는지, 그리고 수십 년치의 데이터가 한곳에 있을 때 어떤 일이 발생하는지에 관한 문제다.
LAA가 도난당했다고 밝힌 것
보도에 따르면, LAA의 업데이트된 평가는 유출된 데이터가 많은 초기 요약에서 사용된 2007년 시작점보다 훨씬 더 거슬러 올라간다는 것을 보여준다. 도난 기록 중 약 25만 건이 2007년 이전의 것이며, 확인된 가장 오래된 기록은 1978년으로 거슬러 올라간다.
원문 기사는 관련된 모든 데이터 필드에 대한 완전한 분석을 제공하지 않으므로, 기관이 밝힌 것 이상으로 구체적인 내용을 추측하는 것은 잘못이다. 분명한 것은 맥락이다. 법률구조 파일은 형사, 가사 또는 기타 법적 절차에 관련된 사람들과 같이 어려운 시기에 처한 사람들과 관련이 있다. 그러한 맥락과 연결된 소량의 정보라도 민감할 수 있다.
LAA가 사건을 어떻게 규정했는지 확인하고 싶다면, 조사가 진행되면서 세부 사항이 변경되었으므로 기관 자체의 업데이트와 법률협회(Law Society)의 유출 관련 지침을 확인하라.
1978년 기록이 여전히 보관되어 있던 이유
당연한 질문은 1970년대의 기록이 왜 여전히 공격자들이 접근할 수 있었느냐는 것이다. 기사는 LAA의 내부 이유를 설명하지 않으므로, 우리는 일반적인 패턴만 논의할 수 있다.
공공 기관은 법적 의무, 감사, 사건 이력, 그리고 오래된 데이터를 현재 시스템에서 깔끔하게 분리하기 어렵다는 이유로 합당한 사유로 기록을 오랫동안 보관하는 경우가 많다. 시간이 지나면서 그러한 데이터는 목록화하기 어렵고 안전하게 삭제하기는 더욱 어려운 레거시 데이터베이스에 쌓일 수 있다.
이 지점에서 보존 기한이 경계 방어만큼 중요해진다. 방화벽, 모니터링, 접근 제어는 침입 가능성을 줄인다. 그러나 공격자가 실제로 뚫고 들어온다면, 피해 규모는 저장된 데이터에 비례한다. 더 이상 목적을 수행하지 않는 데이터는 순수한 부채다. 누구에게도 도움이 되지 않으면서도, 그 데이터가 설명하는 사람들에게 여전히 해를 끼칠 수 있다.
1978년 발견은 명확한 사례다. 수십 년 전에 법률구조 시스템과 관련이 있었던 사람은 자신의 파일이 오래전에 사라졌거나 무관하다고 생각했을 수 있다. 유출은 그렇지 않음을 보여준다.
영향을 받은 사람들이 지금 할 수 있는 일
법률구조를 신청한 적이 있거나 귀하의 정보가 사건의 일부였을 수 있다면, 취할 가치가 있는 실질적인 조치들이 있다. 그중 어느 것도 당황할 필요는 없다.
- 공식 통지 확인하기. LAA로부터의 편지나 이메일을 주시하고, 응답하기 전에 모든 메시지를 기관의 공개 지침과 대조 확인하라. 유출 사고는 종종 관련 기관을 사칭한 피싱 시도를 유발한다.
- 권리를 알기. 영국 데이터 보호법에 따라, 일반적으로 조직에 자신에 대해 보유한 개인 데이터가 무엇인지 문의하고 처리 방식에 대해 우려를 제기할 수 있다. 명확성을 원한다면 정보주체 접근 요청을 고려하라.
- 예상치 못한 연락에 주의하기. 귀하의 법적 이력을 언급하는 전화, 문자, 이메일에 대해 의심스럽게 대하라, 특히 신속한 행동이나 금융 정보 공유를 압박하는 경우 더욱 그렇다.
- 계좌와 신용 모니터링하기. 은행 명세서와 신용 보고서에서 낯선 항목이 없는지 주시하라.
- 로그인 보안 강화하기. 고유한 비밀번호를 사용하고 가능한 곳에서는 2단계 인증을 활성화하라, 특히 이메일에 대해서는 더욱 그렇다.
- 걱정되면 조언을 구하기. 법률협회(Law Society)와 같은 조직은 영향을 받은 사람들을 위한 정보를 공개했으며, 법률 자문가가 귀하의 선택지를 설명할 수 있다.
유출 후 VPN이 할 수 있는 것과 없는 것
여기서 솔직해질 가치가 있다. VPN은 기기와 VPN 서버 사이의 인터넷 트래픽을 암호화하며, 이는 신뢰할 수 없는 네트워크에서 도움이 되고 인터넷 제공업체가 볼 수 있는 것을 제한할 수 있다. 이는 유용한 일반적 위생 관리다.
그러나 VPN은 유출을 되돌리지 못한다. LAA 데이터는 귀하의 연결이 아닌 기관의 시스템에서 도난당했으므로, 어떤 소비자 도구도 그것을 되찾거나 다시 안전하게 만들 수 없다. VPN은 또한 피싱, 신원 사기, 또는 이미 범죄자 손에 들어간 정보의 오용을 막지 못한다.
VPN을 이런 사건에 대한 대응이 아닌, 더 넓은 프라이버시 습관의 작은 한 층으로 생각하라.
이것이 귀하에게 의미하는 것
핵심 교훈은 귀하의 노출이 오늘 공유하는 것에 의해서만 정의되지 않는다는 것이다. 그것은 또한 귀하가 수년 또는 수십 년 전에 거래한 기관이 여전히 보유하고 있는 것에도 달려 있다. 귀하는 공공 기관의 보존 일정을 통제할 수 없지만, 새로운 노출을 줄일 수는 있다. 필요한 것만 공유하고, 정보가 수집되는 이유를 물으며, 해당되는 경우 접근 및 삭제 권리를 행사하라.
더 넓은 정책적 요점도 있다. 민감한 기록을 보유한 조직은 그것을 보관하는 것을 정당화할 수 있어야 하며, 정당화할 수 없는 것은 삭제해야 한다. 전체 이력을 넘기지 않고도 자신이 누구인지 또는 자격이 있는지 증명할 수 있다는 아이디어가 주목받고 있다. 디지털 신원 도구가 프라이버시를 강화할 수 있는 방법에 관한 우리 기사는 프라이버시 보존 검증이 애초에 저장되는 데이터의 양을 어떻게 줄일 수 있는지 탐구한다.
핵심 요점
영국 법률구조청 데이터 유출은 오래된 데이터가 존재하는 한 위험하다는 것을 보여준다. 영향을 받았을 수 있다고 생각되면 다음 단계를 따르라:
- 공식 LAA 커뮤니케이션을 주시하고 독립적으로 확인하라.
- 귀하에 대해 보유된 정보를 알기 위해 정보주체 접근 요청을 고려하라.
- 법적 문제를 언급하는 원치 않는 연락에 주의하라.
- 고유한 비밀번호와 2단계 인증을 사용하라.
- 가능한 곳에서는 데이터를 덜 공유하고, 보유하는 것을 제한하는 서비스를 선호하라.
유출 통지 권리를 확인하고, 넘겨주는 개인 데이터를 줄이며, 전체 기록을 넘기지 않고 자신이 누구인지 증명하는 맥락에 대해서는 디지털 신원과 프라이버시에 관한 우리 가이드를 읽어라.
