캐나다 개인정보보호위원회(OPC)가 이달 초 발생한 대규모 사이버 침해 사건에 대한 조사에 착수했다. 이 사건으로 캐나다인들의 운전면허증을 포함한 수백만 명의 개인정보가 유출된 것으로 추정되고 있다.

OPC는 필립 뒤프레네 위원장이 IDScan.net의 데이터 유출 사건에 대한 조사를 시작했으며, 제3자가 회사 데이터베이스에 무단으로 접근해 운전면허증 및 기타 신분증의 디지털 스캔본을 포함한 개인 정보를 훔쳐갔다는 보고를 받았다고 밝혔다.

이어 이번 조사에서는 IDScan.net이 침해 당시 마련해 두었던 보안 조치와 피해자들에게 전달된 알림의 적절성을 검토해, 캐나다 연방 민간 부문 개인정보 보호법인 개인정보 보호 및 전자문서법 (PIPEDA)을 준수했는지 여부를 판단할 것이라고 덧붙였다. 

또한 OPC는 IDScan.net은 기업들이 고객의 정부 발행 신분증을 확인하는 데 사용하는 온라인 플랫폼으로 이러한 도구를 사용할 수 있는 기업의 예로는 호텔이나 유흥업소 등이 있다고 전했다.

PIPEDA에 따르면, 조직은 자신이 관리하는 개인정보와 관련한 보안 조치 위반이 발생했을 경우, 해당 위반으로 인해 개인에게 중대한 피해가 발생할 실질적인 위험이 있다고 판단되면, OPC에 이를 보고해야 한다.

해당 법률에서 말하는 중대한 피해의 예로는 재정적 손실이나 신분 도용, 신용 기록에 대한 부정적인 영향 등이 있지만, 이에 국한하지는 않는다.

OPC 감독관실은 IDScan.net과 지속적으로 소통해 해당 기관이 이번 사건을 해결하고, 캐나다 국민에 대한 위험을 완화하기 위해 필요한 조치를 취하고 있는지 확인할 것이라고 밝혔다.

이번 발표는 캐나다 기관이 해당 사이버 침해 사건에 대한 수사를 진행 중임을 공식적으로 확인한 첫 사례이며, 지난주 캐나다 왕립 경찰(RCMP)이 상황을 주시하고 있으며, 국내외 법 집행 기관 및 사이버 보안 파트너와 적절히 협력하고 있다고 밝힌 이후 나온 것이다.

한편 IDScan.net은 4일 발표한 성명에서 이번 공격은 고객의 운전면허증 데이터 및 기타 정보가 저장되어 있는 클라우드 네트워크를 표적으로 삼았다고 밝혔다.

IDScan.net은 성명에서 조사가 진행 중인 가운데, 승인되지 않은 제3자가 IDScan.net 클라우드에 저장된 고객 계정에 있는 특정 고객 정보에 접근하거나 복사했을 가능성이 있음을 확인했으며, 영향을 받은 데이터에는 성명과 운전면허증, 기타 정부 발행 신분증 번호와 같은 정보가 포함될 수 있다고 전했다.

회사 측은 정보 유출로 피해를 입었을 가능성이 있는 사람들에게 직접 연락을 취하고, 무료 신용 모니터링 및 신원 보호 서비스를 제공할 것이라고 전했다.