(안영민 기자) 2020년 캐나다국세청(CRA)과 서비스캐나다(Service Canada) 계정 해킹으로 개인정보가 유출된 피해자들이 최대 5,000달러의 보상금을 받을 수 있게 됐다.

캐나다 정부와 집단소송 원고 측이 합의한 870만 달러 규모의 합의금에 대한 보상 신청이 시작되면서 당시 피해를 입은 수만 명의 캐나다인들이 보상을 받을 수 있는 길이 열렸다.

이번 집단소송은 2020년 코로나19 팬데믹 초기 해커들이 CRA '마이 어카운트(My Account)', 마이 서비스 캐나다(My Service Canada), GCKey를 이용하는 정부 온라인 계정 등에 무단 침입해 개인정보를 탈취한 사건과 관련된 것이다.

해커들은 탈취한 개인정보를 이용해 피해자 명의로 캐나다 긴급대응지원금(CERB) 과 캐나다 긴급학생지원금(CESB) 등을 부정 신청한 것으로 조사됐다.

당시 사회보장번호(SIN), 주소, 은행계좌 정보 등 민감한 개인정보가 대량 유출되면서 수만 명의 국민이 신원도용과 금융사기 위험에 노출됐다.

이번 합의는 지난해 12월 이뤄졌으며, 연방법원이 올해 5월 최종 승인했다. 보상 신청은 8월부터 시작됐으며 2027년 2월 3일까지 온라인 또는 우편으로 접수할 수 있다.

∎ 내가 보상 대상인지 확인해야

모든 해킹 피해자가 자동으로 보상을 받는 것은 아니다.

보상 대상은 2020년 3월 1일부터 12월 31일 사이 정부 온라인 계정의 개인정보가 제3자에게 무단 노출된 사람들 가운데, 특히 2020년 6월 15일부터 8월 30일까지 발생한 '크리덴셜 스터핑(Credential Stuffing)' 해킹 공격으로 실제 피해를 입은 사람들이다. 당시 해킹 피해자는 4만 7천명 이상인 것으로 알려졌다.

크리덴셜 스터핑은 해커들이 다른 사이트에서 유출된 아이디와 비밀번호를 정부 사이트에 무차별 대입해 계정을 탈취하는 수법이다.

KPMG로부터 안내 이메일을 받은 경우에는 보상 신청 대상에 해당될 가능성이 높다.

본인이 보상 대상이 되는지 확인하려면 KPMG가 운영하는 보상 웹사이트(Government of Canada Privacy Breach Class Action – Settlement)에서 ‘Eligibility page’를 클릭해 성(last name) 과 사회보장번호(SIN) 마지막 세 자리를 입력하면 된다.


(사진출처=Facebook)

∎ 얼마나 받을 수 있나

보상금은 피해 정도에 따라 차등 지급된다.

단순히 개인정보가 조회된 경우에는 문제 해결에 사용한 시간에 대한 보상으로 최대 80달러를 받을 수 있다.

개인정보가 실제 사기에 이용된 경우에는 최대 200달러까지 지급된다.

여기에 신원도용이나 금융사기로 인해 본인이 직접 부담한 비용이 있다면 별도의 특별보상기금(Special Compensation Fund) 을 통해 최대 5,000달러까지 추가 보상이 가능하다.

보상 대상 비용에는 신용카드 부정 사용으로 발생한 손실, 신원도용 대응 비용, 환급받지 못한 각종 수수료 등이 포함된다.

다만 신청자가 많을 경우 실제 지급액은 일부 줄어들 수 있다.

∎ 신청은 어떻게 하나

신청은 KPMG 보상 웹사이트에서 온라인으로 할 수 있으며, 신청서를 내려받아 우편으로 제출하는 것도 가능하다.

궁금한 사항은 KPMG 보상센터 이메일(breachsettlementcanada@kpmg.ca)을 통해 문의할 수 있다.

합의금 가운데 지급되지 않고 남는 금액은 캐나다 개인정보 및 정보접근협의회에 전달돼 개인정보 보호 관련 연구에 사용될 예정이다.

한편 캐나다 정부는 이번 개인정보 유출 사건과 관련해 법적 책임이나 과실은 인정하지 않았다. 정부는 이번 합의가 피해자들과의 분쟁을 해결하기 위한 조치일 뿐, 잘못을 인정하는 것은 아니라는 입장을 유지하고 있다.