우버, AI 협력업체 해킹에 美 운전기사 수천 명 면허 정보 유출

-AI 클라우드 플랫폼 파이어웍스 AI 자격 증명 도용… 우버 데이터 무단 접근

-매사추세츠·사우스캐롤라이나·로드아일랜드 3개 주에서만 7870명 면허 정보 피해

-우버 프레이트 이어 올해 두 번째 유출… 공급망 보안 사고 우려 다시 커져

미국 차량 공유 기업 우버 테크놀로지스(Uber Technologies, Inc.)가 인공지능(AI) 협력업체의 계정 탈취 사고로 현지 운전기사 수천 명의 개인정보와 운전면허 정보가 유출됐다는 사실을 공식 인정했다. 우버가 미국 각 주 법무장관실 등에 제출한 데이터 침해 신고서와 피해자 통지문을 통해 사고 경위가 드러났다. 현재까지 공개된 신고 내용은 미국 내 운전기사에 한정돼 있으며, 국내 서비스 이용자나 기사에 관한 내용은 포함되지 않았다.

통보 나흘 만에 우버 데이터 무단 접근 확인

우버의 통지문에 따르면 회사는 지난 10월 9일 한 서비스 제공업체로부터 외부의 권한 없는 제3자가 해당 업체의 내부 자격 증명(크리덴셜)을 탈취해 우버 계정에 접근했다는 사실을 통보받았다. 우버는 통보 직후 해당 업체와의 데이터 연결을 차단하고 자체 조사에 착수했으며, 10월 13일 공격자가 도용한 자격 증명으로 해당 업체와 연결된 우버 데이터에 실제 접근한 사실을 확인했다.

문제의 업체는 개발자들이 오픈소스 AI 모델에 접근해 활용할 수 있도록 지원하는 AI 클라우드 플랫폼 ‘파이어웍스 AI(Fireworks AI)’로 확인됐다. 파이어웍스 AI는 지난달 고객의 결제 정보와 일부 비공개 AI 데이터셋이 탈취된 침해 사고를 공개한 바 있으며, 생산성 소프트웨어 기업 노션도 이 사고로 자사 데이터가 유출됐다고 확인했다. 파이어웍스 AI는 공격 주체를 대규모언어모델(LLM) 접근 토큰을 탈취해 되파는 금전 목적의 사이버 범죄 조직으로 지목했지만, 아직 범행을 자처한 조직은 나오지 않았다.

우버 대변인은 미국 IT 매체 테크크런치에 “운전기사들에게 보낸 통지는 일부 우버 데이터에 접근 권한을 가진 외부 협력업체 파이어웍스 AI의 보안 사고와 관련된 것”이라고 밝혔다. 다만 전체 피해 인원과 통지 대상 규모는 공개하지 않았다.

피해 3개 주에서만 7,870명… 규모 더 늘 듯

각 주에 제출된 신고서 기준으로 확인된 피해 규모는 매사추세츠주 2,567명, 사우스캐롤라이나주 34,30명, 로드아일랜드주 1,873명 등 3개 주에서만 7,870명에 이른다. 일리노이주 신고서에는 일부 주민의 운전면허 정보가 유출됐다고 적혔으나 인원은 집계 중으로 표기됐고, 캘리포니아주 운전기사들에게도 통지가 이뤄졌지만 인원은 밝혀지지 않았다. 추가 신고가 이어지는 만큼 전체 피해 규모는 더 늘어날 가능성이 크다.

우버는 11월 10일 자로 피해 운전기사들에게 통지 서한을 발송하기 시작했다. 통지문에서 우버는 현재까지 유출 정보가 악용된 정황은 확인되지 않았다고 설명했다. 후속 조치로는 신용평가사 트랜스유니온(TransUnion) 계열 사이버스카우트(Cyberscout)를 통한 무료 신용 모니터링과 사기 피해 지원 서비스를 제공하며, 피해자는 통지일로부터 90일 안에 등록해야 한다.

올해만 두 번째… 공급망 보안의 구멍

이번 사고는 올해 화물 운송 부문 우버 프레이트(Uber Freight)에서 발생한 침해 사고에 이어 우버가 올해 들어 공개한 두 번째 데이터 유출이다. 당시에는 한 갈취형 해킹 조직이 데이터 탈취를 자처했다. 두 사고 모두 본사 시스템을 정면으로 뚫기보다 외부와 연결된 접점이 공격 경로가 됐다는 점에서, 협력업체를 거쳐 침투하는 전형적인 공급망(Third-party) 보안 사고라는 평가가 나온다.

이번 사고가 던지는 메시지는 분명하다. 기업들이 생성형 AI 도입을 서두르며 외부 AI 플랫폼에 내부 데이터를 연결하는 사례가 빠르게 늘고 있지만, 그 연결 고리 하나가 뚫리면 본사의 보안 수준과 무관하게 고객과 파트너의 정보가 한꺼번에 노출될 수 있다. 결국 관건은 AI 협력업체에 넘기는 데이터의 범위와 접근 권한을 얼마나 최소화하고 상시 점검하느냐다. 국내에서도 AI 서비스 연동이 확산되는 만큼, 협력업체 자격 증명 관리와 공급망 보안 점검을 계약 단계부터 의무화하는 흐름이 한층 빨라질 전망이다.

Welaunch 김아현 기자

스타트업∙딥테크 뉴스 전문 미디어-위런치

Copyright ⓒ Welaunch. All rights reserved.

보도자료/기고 : editor@welaunch.kr

광고/제휴 문의 : we@welaunch.kr