Home / 핫뉴스
법원, 국세청 해킹 피해 집단소송 합의금 승인
총 870만 불...1인당 최대 5천 불
- 박해련 기자 (press3@koreatimes.net)
- May 07 2026 10:06 AM
코로나 당시 납세자 정보 유출
연방정부가 국세청(CRA) 포털 등 정부 웹사이트 계정이 해킹돼 개인정보가 유출된 피해자들에게 집단소송 합의금으로 총 870만 달러를 지급하기로 했다. 연방법원은 지난해 12월 체결된 합의안을 이달 5일 승인했다.
연방정부가 2020년 국세청 등 정부 계정 해킹으로 개인정보가 유출된 피해자들과의 집단소송에서 합의금 870만 달러를 지급하기로 했다. CBC 방송 사진
이번 사건은 2020년 팬데믹 초기 수개월 동안 발생한 해킹 사건과 관련돼 있다. 해커들은 피해자 명의로 캐나다 긴급지원금(Canadian Emergency Relief Benefit)과 긴급학생혜택(Canadian Emergency Student Benefit) 등을 신청하기 위해 정부 계정을 집중적으로 노렸다.
당시 4만7천 명 이상이 사회보험번호와 주소, 은행 계좌 정보 등 민감한 개인정보를 탈취당했다.
연방법원의 리처드 사우스콧 판사는 합의안이 공정하고 합리적이며 전체 집단 구성원의 이익에 부합한다고 판단했다.
소송에서는 정부와 국세청의 보안 관리 실패가 최소 세 차례의 사이버 공격을 가능하게 했다는 주장이 제기됐다. 법원 자료에 따르면 해커들은 피해자의 개인정보를 이용했고, 긴급지원금을 허위로 신청하거나 실제 지급금을 다른 계좌로 빼돌렸다.
국세청은 논평 요청에 응답하지 않았지만 지난해 12월 합의안 발표 당시 이번 합의는 분쟁 중인 청구를 타협한 결과일 뿐 정부의 책임이나 과실을 인정한 것은 아니라는 입장을 밝혔다. 연방정부도 잘못을 부인했다.
대표 원고인 브리티시컬럼비아주 클린턴의 토드 스위트는 2020년 7월 자신의 계정 이메일 주소가 변경됐다는 통지를 받은 뒤 해킹 사실을 알게 됐다.
스위트는 국세청 온라인 포털에 접속해 누군가 자신의 계좌 입금 정보를 바꾸고 CERB를 네 차례 신청한 사실을 확인했다.
이후 비슷한 피해 사례가 온라인에서 확산되자 국세청은 같은 해 8월 온라인 서비스를 일시 중단했다. 몇 주 뒤 브리티시컬럼비아주에서 제기된 소송은 국세청이 웹사이트 보안을 제대로 유지하지 못했고 해킹 피해도 신속히 발견하지 못했다고 주장했다.
해커들은 이른바 '크리덴셜 스터핑(credential stuffing)' 수법을 사용했다. 이는 한 사이트에서 유출된 사용자 이름과 비밀번호를 다른 사이트 로그인에 반복 사용하는 방식이다.
일반적으로 국세청의 '내 계좌(MyAccount)' 포털은 사용자 이름과 비밀번호 입력 이후 보안 질문을 추가 인증 단계로 요구하지만, 사우스콧 판사는 당시 국세청의 인증 관리 소프트웨어 설정 오류 때문에 해커들이 보안 질문 절차를 우회할 수 있었다고 설명했다.
법원 자료에 따르면 국세청은 2020년 8월6일 사법기관 파트너로부터 해당 우회 방법이 다크웹에서 판매되고 있다는 통보를 받고 문제를 인지했다. 국세청은 나흘 뒤 이 문제를 수정하고 추가 대응 조치를 시행했다.
해커들은 같은 방식으로 정부 인증 서비스인 GC키(GCKey)를 사용하는 마이서비스 캐나다 어카운트(My Service Canada Account) 등 다른 정부 온라인 계정에도 침입했다.
전체 합의금 870만 달러 가운데 약 600만 달러는 2020년 6월26일부터 8월18일 사이 크리덴셜스터핑 공격으로 개인정보가 유출된 피해자 보상에 배정됐다. 나머지는 변호사 비용과 대표 원고 보상금, 행정 비용 등에 사용된다.
피해자들은 시간 손실과 불편에 대해 시간당 20달러 기준으로 최대 4시간, 총 80달러까지 청구할 수 있다. 해커가 피해자 정보를 이용해 CERB를 허위 신청했거나 실제 지급금을 가로챈 경우에는 최대 200달러까지 청구할 수 있다. 또 신용카드 피해나 각종 수수료 등 신원 도용과 관련해 발생한 실제 비용은 최대 5천 달러까지 보상받을 수 있다.
합의 절차는 회계법인 KPMG가 운영하는 전용 웹사이트를 통해 진행된다. 합의금이 남거나 청구되지 않은 금액은 정부로 반환되지 않고 캐나다 개인정보·정보접근위원회(Privacy and Access Council of Canada)에 전달돼 개인정보 보호 연구 지원에 사용될 예정이다.
전체 피해자 가운데 29명은 합의금 규모가 지나치게 적다는 이유 등으로 반대 의견을 냈다. 사우스콧 판사는 이들에게 집단소송에서 제외돼 별도 소송을 제기할 수 있는 기간이 주어진다고 설명했다.
사우스콧 판사는 일부 피해자들에게 이번 보상이 정신적·신체적·재정적 피해를 고려할 때 충분하지 않을 수 있다고 인정하면서도, 이번 합의는 전체 피해자 집단에 합리적인 수준의 보상을 제공하기 위한 것이라고 판단했다.
www.koreatimes.net/핫뉴스
박해련 기자 (press3@koreatimes.net)
