Hertz 고객 정보 유출! 운전면허증 포함 개인정보 대량 탈취된 해킹 사건의 진실

렌터카 대기업인 헤르츠(Hertz)가 고객들의 개인정보와 운전면허증이 포함된 데이터 유출 사고에 대해 통보하기 시작하였습니다. 달러(Dollar)와 스리프티(Thrifty) 브랜드를 함께 운영하는 이 회사는 자사 웹사이트 공지를 통해, 이번 유출이 2024년 10월부터 12월 사이 자사의 한 벤더를 대상으로 발생한 사이버 공격과 관련이 있다고 밝혔습니다.

 

유출된 데이터는 지역마다 다르나, 주로 고객 이름, 생년월일, 연락처 정보, 운전면허증, 결제 카드 정보, 산재보상 청구 기록 등이 포함되어 있습니다. 또한, 일부 고객은 사회보장번호(SSN) 및 기타 정부 발급 신분증 번호도 유출된 것으로 확인되었습니다. 헤르츠는 이 사실을 호주, 캐나다, 유럽연합, 뉴질랜드, 영국의 고객들에게 자사 웹사이트를 통해 공지하였으며, 미국 내 여러 주, 특히 캘리포니아주와 메인주에도 관련 사실을 보고하였습니다. 메인주에서는 최소 3,400명의 고객이 영향을 받은 것으로 나타났으나, 실제 피해자 수는 이보다 훨씬 많을 것으로 예상됩니다.

 

에밀리 스펜서(Emily Spencer) 헤르츠 대변인은 TechCrunch와의 인터뷰에서, 정확한 피해자 수를 밝히지는 않았으나 “수백만 명이 영향을 받았다고 말하는 것은 부정확합니다”라고 말하였습니다. 헤르츠는 이번 유출 사고의 원인을 소프트웨어 벤더인 클레오(Cleo)로 돌렸습니다. 클레오는 러시아와 연관된 랜섬웨어 조직이 벌인 대규모 해킹 캠페인의 중심에 있었던 회사입니다.

 

헤르츠는 당시 클레오의 소프트웨어를 사용하던 수십 개 기업 중 하나였으며, 클롭(Clop) 랜섬웨어 조직은 클레오의 기업용 파일 전송 시스템에서 제로데이 취약점을 악용하여 대규모 데이터 탈취를 감행했다고 주장하였습니다. 이 시스템은 기업 간 대용량의 민감 데이터를 인터넷을 통해 공유할 수 있도록 설계된 제품입니다. 이후, 클롭 조직은 자신들의 다크웹 유출 사이트에 약 60개 기업의 데이터를 탈취하였다고 주장하였으며, 그 외에도 수십 개의 추가 피해 기업이 존재한다고 밝혔습니다.

 

이번 데이터 탈취 캠페인은 2024년 가장 큰 규모의 해킹 사건 중 하나로 기록되었습니다. 당시 헤르츠는 클롭 조직의 유출 대상 리스트에 이름이 올랐지만, 자사 시스템 또는 데이터가 영향을 받았다는 증거는 없다고 발표하였습니다. 그러나 이번 주 월요일, 헤르츠 대변인은 “자체 네트워크는 영향을 받지 않은 것으로 확인되었으나, 2024년 10월과 12월 사이 제로데이 취약점을 악용한 제3자에 의해 헤르츠의 데이터가 유출되었다는 사실을 확인하였습니다”라고 밝혔습니다.