백만 달러의 벌금: 뱅크오브아메리카와 EY에게, ‘개인정보 보호’라는 건 조롱거리가 되었다

이 Financial Times의 충격적인 보도는 금융업계를 뒤흔들었다. Ernst & Young(EY)과 뱅크오브아메리카(Bank of America)가 공동으로 250만 달러(약 35억원)의 벌금을 물었는데, 그 이유는 MOVEit 해킹 사태로 고객 데이터를 충분히 보호하지 못했기 때문이다. 이 벌금은 많은 이들에게 조롱으로 비춰진다. ведь EY와 뱅크오브아메리카는 이제 자신들의 재정을 줄이는 데 그쳤지만, 남은 건 질문뿐이다: ‘누가 우리를, 고객들을 보호하는가?’
---
MOVEit: 우리의 디지털 세계에 숨은 시한폭탄
여러분의 지갑이 아니라 여러분의 정체성 자체가 도둑맞았다고 상상해 보십시오. 이게 바로MOVEit 해킹 사태를 경험한 수백만 명의 기분이었다. 2023년 5월, 해커들은 ‘안전한 데이터 전송’을 표방하던 파일 전송 프로그램 MOVEit의 취약점을 악용했다. 그 결과 이메일과 송장뿐만 아니라 사회보장번호, 은행 정보 등 개인과 재정을 위협할 수 있는 모든 데이터가 위험에 노출되었다.
그리고 피해자들은? 바로 뱅크오브아메리카와 EY다. 두 회사 모두 MOVEit를 사용했고, 그 위험성을 충분히 인지했어야 했다. 하지만 그들은 시스템을 강화하지 않았고, 결국 때는 늦고 말았다.
---
왜 개인정보 보호는 늘 실패하는가?
EY는 뱅크오브아메리카의 감사기관으로, MOVEit의 위험성을 충분히 경고하지 못했다는 비난을 받고 있다. 그러나 이는 하나의 사례에 불과하다. 세계적인 거대 은행인 뱅크오브아메리카조차도 보안 시스템을 갖추고 있었지만, ‘충분치’ 않았다. 전문가들은 고개를 절레절레 흔들며 말한다. ‘너무 많은 기업이 구식 시스템에 의존하고, 업데이트를 미루며, 경고 신호를 무시한다’는 사실을.
MOVEit 해킹은 충분히 예방할 수 있었다. 빠른 패치, 강력한



방화벽, 조금의 주의만 있었어도 수백만 명의 identity가 안전했을 것이다.
---
250만 달러: 거대기업의 ‘징징한 한 방’?
EY와 뱅크오브아메리카에게 이 벌금은 불쾌하겠지만 감당할 만한 수준이다. 그러나 고객들에게는 웃픈 농담에 불과하다. 보상도, 배상도 없다—단지 ‘이제 모든 것이 좋아질 것’이라는 약속만. 이Sounds familiar? 금융업계에서는 이런 일이 비일비재하다. 기업들은 벌금을 내고, 똑같이 일을 벌리며, 소비자들은 그 대가를 치른다.
여기서 명심해야 할 점: 개인정보 보호는 사치가 아니다. 기본적인 책임이다. 은행과 회계감사 기관조차 기본 소프트웨어 보안에 실패하는데, 우리는 어떻게 안전을 보장받을 수 있을까?
---
왜 당국은 так 오래 걸렸나? 그리고 누가 책임을 져야 하는가?
이 사건의 조사와 처벌이 결정된 데 무려 1년이 소요되었다. 그 1년 동안 해커들은 아무런 방해 없이 데이터를 훔치고 악용할 수 있었다. 왜일까? 당국이 무능했기 때문일까? 기업이 빠져나갈 시간을 너무 길게 준 탓일까? 아니면 사법 시스템이 너무 느리기 때문일까?
한 가지 확실한 건: 이 지연이 초래한 결과는 현실로 존재한다는 사실이다. 우리 모두에게 말이다.
---
이 재앙에서 우리가 배워야 할 유일한 교훈
이 사건은 단순한olated incident가 아니다. 경고이자 외침이다. 금융업계는 물론 정치와 법 집행 기관도 깨달아야 한다:
‘개인정보 보호는 마케팅 슬로건이 아니다. 엄격한 규제와 강력한 처벌, 그리고 zero-tolerance 정책으로 실천되어야 한다’
한 가지 분명한 사실이 있다: 다음 대형 해킹은 반드시 발생할 것이다. 문제는 ‘이번엔 우리가 더 잘 준비되어 있는가?’ 혹은 ‘다시 한 번 기업이 책임을 회피하는 동안 우리가 대가를 치르게 될 것인가?’이다.