최근 현대오토에버의 미국법인에서 고객정보 유출 사고가 있었다는 논란이 일었다.
하지만 미국 외신과 로펌들이 현대오토에버 아메리카에서 '최대 270만명의 고객 사회보장번호(SSN)와 운전면허번호가 유출됐다'고 주장한 것과 달리, 실제로는 사내망 메신저가 침해돼 일부 임직원의 이름과 이메일 정도만 노출됐던 것으로 확인됐다.
현대오토에버 측은 "사내망 메신저 시스템이 침해된 것으로 확인했으며, 일부 임직원의 이름과 이메일 정도의 정보만 침해됐다"며 "고객정보 유출이라는 것은 사실이 아니고, 아직 유출 정황도 없다"고 밝혔다.
특히 회사 측은 "최대 270만명의 고객정보가 유출됐다는 외신 보도는 사실이 아니다"라며 "다만 미국 로펌들이 집단소송을 위해 피해자 모집을 진행 중인 것은 맞다"고 설명했다.
실제 현대오토에버 아메리카의 고객 통지서(Notice of Data Breach)와 회사 측 해명을 종합하면, 실제 유출된 정보와 외신 보도 사이에 상당한 괴리가 있는 것으로 나타났다.
통지서에서도 "may have been affected(영향을 받았을 수 있는)", "may have been involved(포함됐을 수 있는)" 등 조건부 표현이 반복적으로 사용되고 있다. 이는 실제 유출이 확인된 것이 아니라 '접근 가능성'만을 전제로 한 예방적 통지라고 볼 수 있다.
현대오토에버 아메리카는 2025년 2월 22일부터 3월 2일 사이 회사 시스템에 대한 무단 접근(intrusion)이 발생한 사실을 파악했다.
침입 흔적은 3월 1일에 발견됐으며, 3월 2일 공격 차단이 완료된 것으로 기록됐다. 이후 내부 조사 과정에서 일부 고객정보에 접근 가능성이 확인됐고, 회사는 외부 보안 업체를 투입하고 법 집행 기관에 이를 보고했다.
외신 "고객 SSN·운전면허번호 유출" vs 현대오토에버 "임직원 정보 일부"
이를 두고 일부 외신은 이를 근거로 현대·기아·제네시스 차량 소유자를 중심으로 최대 270만명이 영향권에 들어갈 수 있다고 보도했다.
이번 사태는 미국 데이터 침해 공시 제도의 특성이 만들어낸 오해로 분석된다.
앞서 미국 데이터 침해 공시 자료에 따르면, 현대오토에버 아메리카는 각 주 법무장관에게 데이터 침해 사실을 통지했다. 공시 양식에는 유출 가능성이 있는 정보 유형으로 '이름, 사회보장번호(SSN), 운전면허증 번호, 생년월일' 등이 체크돼 있었다.
미국은 주 단위로 데이터 침해를 의무 공시하는 제도를 가지고 있어, 기업이 개인정보 유출을 확인하면 반드시 해당 주의 해당 주 법무장관에게 사고 내용을 통지해야 한다.
문제는 실제 유출이 확인되지 않아도 시스템 침해나 '접근 가능성'만으로 신고 의무가 발생한다는 점이다. 공시 양식에는 해당 시스템이 '다룰 수 있는' 데이터 종류를 모두 체크하도록 돼 있어, 실제 유출 여부와 무관하게 광범위한 정보 유형이 나열된다.
현대오토에버 미국법인의 경우, 실제로는 사내 메신저만 해킹당했지만 공시 양식상 회사가 보유한 고객정보 유형(SSN, 운전면허번호 등)을 모두 명시한 것으로 보인다.
사내 메신저 해킹과 고객 데이터베이스 유출은 심각성 측면에서 차원이 다른 일이다.
사내 메신저에서 노출될 수 있는 임직원 이름과 이메일은 LinkedIn 같은 공개 플랫폼에서도 쉽게 확인할 수 있는 수준의 정보다. 반면 SSN이나 운전면허번호는 신분 도용, 금융 사기 등에 직접 악용될 수 있는 고위험 개인정보다.
미국 로펌들, 즉각 집단소송 피해자 모집 착수
현대오토에버 리스크 커뮤니케이션에 대해선 의문
사고 공개 이후 Lynch Carpenter LLP와 KGG(Kantrowitz, Goldhamer & Graifman) 등 미국 내 복수의 로펌은 "이름·SSN·운전면허번호 노출 가능성"을 근거로 집단소송(class action) 피해자 모집을 시작했다.
이들 로펌은 데이터 침해 공시를 모니터링하다가 대기업 관련 사고가 발생하면 즉각 피해자 모집에 나서는 것으로 알려져 있다. 실제 피해 규모나 유출 여부가 확인되기 전이라도 공시 내용만으로 소송을 제기하는 사례가 빈번하다.
하지만 이번 사태는 미국에 진출한 한국 기업들이 현지 법률 리스크에 어떻게 대응해야 하는지를 보여주는 사례가 될 수 있다.
공시 의무를 이행하면서도 실제 피해 규모를 명확히 구분해 커뮤니케이션하지 않으면, 과장된 외신 보도와 로펌의 집단소송으로 이어져 기업 평판에 타격을 입을 수 있기 때문이다.
현대오토에버는 미국 외신들이 잇따라 오보를 내고, 이 소식이 한국으로 넘어와 잘못된 정보가 퍼질 때까지도 이를 바로 잡지 못하고 있다.
특히 정보 침해 사실을 11월 3일 뒤늦게 공개한 점은 집중적으로 비판 받고 있다.
