스노우플레이크 데이터 유출 집단소송 2026: 내 정보 노출 여부와 청구 방법

스노우플레이크 유출, 나도 피해자일까 — 그리고 보상은 받을 수 있을까

결론부터 말하겠다. 당신이 최근 몇 년 사이 미국의 대형 통신사·공연 티켓 플랫폼·은행·소매업체 중 어느 한 곳이라도 이용했다면, 2024년 스노우플레이크(Snowflake) 관련 유출의 영향권에 들었을 가능성이 생각보다 높다. 그러나 ‘영향권에 들었다’는 것과 ‘지금 당장 소송에 가입해 돈을 받을 수 있다’는 것은 완전히 다른 이야기다. 이 글은 그 간극을 소비자 입장에서 하나씩 메워주기 위해 썼다.

필자가 데이터 유출 사건을 오래 들여다보며 반복해서 목격한 패턴이 있다. 유출 뉴스가 터지면 사람들은 두 극단으로 갈린다. 한쪽은 “통신사 기록 좀 샜다고 뭐 어때”라며 아무것도 안 하고, 다른 한쪽은 “지금 보상 신청하세요”라는 문자 링크를 눌렀다가 오히려 2차 피해를 본다. 둘 다 틀렸다. 정답은 그 중간, 즉 차분하게 사실을 확인하고 → 공식 경로만 이용하고 → 방어 조치를 먼저 깔아두는 것이다.

이 사건이 특별히 헷갈리는 이유는 ‘누가 가해자인가’가 애매하기 때문이다. 스노우플레이크라는 클라우드 데이터 회사의 이름이 사건명에 박혀 있지만, 정작 스노우플레이크의 시스템 자체가 뚫린 게 아니다. 그 구조를 이해하지 못하면 “어느 회사를 상대로, 무엇을 근거로 청구해야 하는지”조차 헷갈린다. 그래서 먼저 사건의 실체부터 짚고 간다.

👉 애초에 ‘내 어떤 데이터가 세상에 얼마나 남아 있는지’ 감이 없다면, 데이터 흔적을 다룬 챗GPT 메모리 기능 심층 분석을 함께 읽으면 개인정보가 축적되는 방식을 이해하는 데 도움이 된다.

---

실제로 무슨 일이 있었나 — ‘플랫폼 해킹’이 아니라 ‘자격증명 공격’

많은 기사 제목이 “스노우플레이크 해킹”이라고 뽑았지만, 이는 절반만 맞는 말이다. 정확한 그림은 이렇다.

스노우플레이크는 기업들이 방대한 데이터를 저장·분석하는 클라우드 데이터 플랫폼이다. 수많은 대기업이 자사 고객 데이터를 이곳에 올려 분석한다. 2024년, 한 공격 집단(보안 업계에서 UNC5537 등으로 추적)은 스노우플레이크의 서버 보안을 뚫은 것이 아니라, 과거 인포스틸러(infostealer) 악성코드로 미리 수집해 둔 로그인 자격증명을 손에 쥐고 있었다. 이 자격증명 중 상당수는 몇 년 전 직원 PC가 감염되면서 유출된 것들이었다.

공격자들은 이 아이디·비밀번호로, 다중인증(MFA)을 켜두지 않은 고객사의 스노우플레이크 계정에 그냥 ‘로그인’했다. 자물쇠를 부순 게 아니라, 복사해 둔 열쇠로 문을 연 셈이다. 공용 창고(스노우플레이크)의 중앙 보안이 아니라, 입주사들이 자기 칸에 걸어둔 자물쇠(비밀번호 + 2차 인증)가 허술했던 것이 핵심이다.

이 구분이 왜 중요한가? 책임과 소송의 방향을 결정하기 때문이다. 소비자 입장에서 “내 데이터를 스노우플레이크에 맡긴 그 기업이 MFA 같은 기본 보안도 강제하지 않았다”는 점이 핵심 쟁점이 된다. 동시에 “플랫폼 제공자인 스노우플레이크가 MFA를 기본값으로 강제하지 않은 설계상의 책임이 있는가”도 쟁점이 된다. 그래서 소송은 영향받은 기업들과 스노우플레이크 양쪽을 향해 제기됐다.

참고로 사건 이후 스노우플레이크는 관리자가 MFA를 강제할 수 있는 기능을 확대하고, 신규 계정에 대해 다중인증을 기본 적용하는 방향으로 정책을 바꿨다. ‘사후약방문’이라는 비판과 ‘업계 표준을 끌어올렸다’는 평가가 공존한다.

---

어느 회사들의 데이터가 노출됐나

스노우플레이크를 데이터 창고로 쓰던 수많은 기업이 영향을 받았다. 보안 업계 추정으로는 100곳이 넘는 조직이 통지 대상이 됐다. 공개적으로 보도된 대표 사례를 정리하면 다음과 같다. 단, 각 기업의 유출 범위·대상은 기업별 공식 통지가 최종 기준이며, 아래는 공개 보도 기준 개략이다.

영향받은 기업(공개 보도 기준)	업종	노출 가능성이 보도된 데이터 유형
대형 이동통신사(AT&T)	통신	통화·문자 ‘기록(메타데이터)’ 중심, 특정 기간
대형 공연 티켓 플랫폼(티켓마스터/라이브네이션)	엔터테인먼트	이름·연락처·주문·일부 결제 관련 정보
대형 소매·자동차부품 유통사	소매	고객·구직자 신상 정보
금융·대출 비교/은행 관련 기업	금융	신청서·신상 정보 등

여기서 소비자가 꼭 기억할 점. “통화 기록만 샜으니 별일 아니다”는 착각을 버려야 한다. 통화·문자 메타데이터는 내용이 없어도 ‘누가, 누구와, 언제, 얼마나 자주’ 연락했는지를 드러낸다. 이는 인간관계망·생활 패턴·대략적 위치를 재구성할 수 있는 민감 정보이며, 표적형 스미싱과 사회공학 사기의 재료가 된다. 실제로 이 사건에서 가장 사회적 파장이 컸던 것도 통신사 통화기록 유출이었다.

이 ‘업스트림 벤더’ 구조가 바로 스노우플레이크 사건이 23andMe 유전자 정보 유출이나 내셔널 퍼블릭 데이터(NPD) 유출, MOVEit 파일전송 취약점 사건과 구별되는 지점이다. 하나의 공용 클라우드를 공유하던 서로 무관한 대기업들이, 같은 공격 방식으로 동시에 털렸다는 점이 이 사건의 본질이다.

---

내 정보가 유출됐는지 어떻게 확인하나

가장 흔한 오해부터 바로잡자. 스노우플레이크에 들어가서 ‘내 정보 조회’를 할 수는 없다. 스노우플레이크는 당신과 직접 거래한 적이 없는 B2B 플랫폼이기 때문이다. 확인의 주체는 ‘당신이 거래한 그 기업’이다. 다음 순서로 점검하라.

1. 공식 통지서를 찾아라. 미국 대부분의 주는 유출 시 피해자에게 통지(breach notification)를 의무화한다. 영향받은 기업은 서면·이메일로 통지를 보낸다. 스팸함과 과거 우편물을 뒤져보라.
2. 기업 공식 사고 안내 페이지를 확인하라. AT&T, 티켓마스터 등은 공식 홈페이지에 사고 설명과 지원(무료 신용 모니터링 등) 안내를 올렸다.
3. 주 법무장관(State AG) 홈페이지의 유출 신고 목록을 교차 확인하라. 캘리포니아·메인 등은 기업이 제출한 유출 신고를 공개한다.
4. 유출 조회 서비스를 참고하라. haveibeenpwned.com 같은 서비스에 이메일을 넣어 과거 유출 포함 여부를 확인한다. 단, 이는 보조 수단일 뿐 공식 판정은 아니다.

여기서 경계할 함정이 하나 있다. 통지서가 ‘안 왔다고’ 해서 ‘안전하다’는 뜻은 아니다. 우편 누락, 이메일 주소 변경, 통지 지연 등이 흔하다. 반대로 “당신이 유출 대상입니다, 여기를 클릭”이라는 ‘때마침 온’ 문자/이메일은 오히려 사기일 확률이 높다. 확인은 반드시 당신이 직접 공식 도메인을 입력해 들어가는 능동적 방식으로 하라.

---

집단소송과 합의는 실제로 어떻게 굴러가나

개인상해 사건에 익숙한 독자라면 데이터 유출 소송의 구조가 꽤 다르다는 점을 알아야 한다. 가령 자동차 사고 후유장해처럼 피해를 의학적으로 수치화하는 자동차 사고 후유장해 보상 청구와 달리, 데이터 유출은 ‘지금 당장 눈에 보이는 금전 손해’를 입증하기가 어렵다. 명의도용으로 실제 돈을 뜯기기 전까지는 ‘위험에 노출됐다’는 추상적 피해만 존재하기 때문이다. 바로 이 ‘손해 입증의 어려움’이 데이터 유출 소송의 가장 큰 난관이다.

그래서 이런 사건은 거의 전부 집단소송(class action) 형태로 묶인다. 개인이 각자 수십 달러짜리 피해로 소송을 거는 건 비현실적이지만, 수백만 명을 하나의 ‘집단’으로 묶으면 대응이 가능해진다. 미국 집단소송의 핵심 원칙을 짚으면:

• 옵트아웃(opt-out) 구조: 당신이 해당 집단에 속하면 아무것도 안 해도 자동으로 소송 당사자에 포함된다. 반대로 개별 소송을 하고 싶으면 기한 내 ‘제외(opt-out)’ 신청을 해야 한다.
• 합의가 대부분: 끝까지 재판으로 가는 경우는 드물다. 피고 기업이 책임을 인정하지 않는 조건으로 합의금을 내놓고 사건을 종결하는 경우가 많다.
• 법원 승인 필요: 합의안은 판사의 승인(preliminary → final approval)을 거쳐야 효력이 생긴다. 이 과정만 1~2년 이상 걸리기도 한다.
• MDL(다지역 병합소송): 여러 주에서 제기된 유사 소송은 하나의 연방 법원으로 병합해 효율적으로 다루는 경우가 많다.

여기서 꼭 당부하고 싶은 것. 합의금 액수·사건번호·법원명을 ‘확정된 사실’처럼 말하는 정보는 의심하라. 이 글을 쓰는 시점에도 관련 소송들은 진행·병합 단계에 있고, 보상 구조는 최종 합의가 승인돼야 확정된다. 구체적 금액과 청구 요건은 반드시 법원이 지정한 공식 합의 사이트와 **법원 docket(사건 기록)**에서 직접 확인해야 한다.

👉 ‘위험에 노출됐다’는 추상적 피해를 금전으로 환산하는 미국 민사 손해배상의 사고방식이 궁금하다면 부당사망(Wrongful Death) 전문 변호사 가이드에서 손해 산정 원리를 참고하면 이해가 빨라진다.

---

어떤 보상을 현실적으로 기대할 수 있나

데이터 유출 합의의 보상은 대략 세 가지 형태로 제공된다. 사건마다 조합이 다르므로 아래는 ‘유형’으로 이해하라.

보상 유형	내용	현실적 체감
무료 신용 모니터링	2~3년간 신용조회 감시 서비스 제공	가장 흔함, 현물 혜택, 비과세 경향
실제 손해 환급	명의도용·사기 피해 입증 시 영수증 기준 환급	상한선 존재, 서류 입증 필수
정액 현금 보상	입증 없이 소액을 균등 지급(pro rata)	1인당 수십 달러 수준에 그치는 경우 많음

솔직하게 말하면, 대부분의 피해자가 손에 쥐는 금액은 크지 않다. 수백만 명이 나눠 갖는 구조이기 때문이다. 그래서 필자는 “합의금 받으려고 기다린다”는 태도보다, 무료로 제공되는 신용 모니터링은 챙기되, 진짜 가치는 ‘방어 조치를 당장 실행하는 것’에 있다고 본다. 돈 몇십 달러보다 명의도용 한 건을 막는 것이 비교할 수 없이 크다.

한 가지 세금 팁. 신용 모니터링 같은 현물 혜택은 통상 과세 대상이 아니지만, 현금 보상 중 실제 손해 환급이 아닌 추가적 지급분은 과세 소득으로 볼 여지가 있다. 금액이 크다면 미국 세무 전문가에게 확인하라.

---

청구 절차와 마감일 — 이 타임라인을 놓치지 마라

데이터 유출 집단소송에서 피해자가 ‘돈을 못 받는’ 가장 흔한 이유는 복잡해서가 아니라 마감일을 놓쳐서다. 개인상해 청구에서 미끄러짐·낙상 사고 청구의 제소 기한(statute of limitations)을 놓치면 권리가 소멸하듯, 집단소송 합의에도 엄격한 청구 기한(claim deadline)과 제외·이의 기한이 있다.

단계	피해자가 할 일	핵심 포인트
1. 유출 통지 수령	통지서 보관, 제공된 무료 모니터링 등록	통지 자체가 중요한 증거
2. 소송 제기·병합	특별히 할 일 없음(옵트아웃 구조)	뉴스·공식 사이트만 모니터링
3. 예비 합의 승인	공식 합의 사이트 공지 확인	이 시점부터 ‘청구 기간’ 시작
4. 청구서 제출	기한 내 claim form 작성·제출	이 기한을 놓치면 보상 0원
5. 최종 승인·지급	지급 방식(수표·전자지급) 선택	지급까지 수개월~수년 소요

가장 중요한 단계는 4번이다. 합의가 승인되면 ‘청구 관리업체(claims administrator)‘가 공식 사이트를 열고, 정해진 기간 안에 claim form을 제출한 사람에게만 보상을 지급한다. 자동 포함(옵트아웃)이라도 청구서를 안 내면 한 푼도 못 받는다. 그래서 사건명을 북마크해 두고 주기적으로 공식 사이트를 확인하는 습관이 필요하다.

현실적인 실패 사례 하나

한 소비자의 흔한 실수를 재구성해 보자. A씨는 통신사로부터 유출 통지를 받았지만 “어차피 통화기록인데”라며 무시했다. 몇 달 뒤 “당신의 합의금 73달러가 준비됐습니다. 24시간 내 수령하세요”라는 문자를 받고, 링크를 눌러 이름·생년월일·은행 로그인 정보를 입력했다. 결과는 합의금 수령이 아니라 계좌 탈취였다. 반대로 올바른 대응은 이랬어야 한다. ① 통지서를 보관하고 ② 신용 동결을 걸고 ③ 사기 문자는 무시한 뒤, ④ 나중에 공식 합의 사이트가 열리면 직접 접속해 청구서를 제출. A씨의 사례는 ‘무관심’과 ‘성급함’이라는 두 실수가 겹친 전형이다.

---

유출 이후 나를 지키는 방어 조치 (공짜로 할 수 있는 것부터)

합의금 기다리는 것보다 백배 중요한 게 이 섹션이다. 아래는 비용이 거의 들지 않으면서 효과가 확실한 조치들이다.

• 신용 동결(credit freeze)을 걸어라. 3대 신용평가사(Equifax·Experian·TransUnion)에 각각 무료로 동결을 신청하면, 본인 허가 없이 신규 신용조회 자체가 막힌다. 명의도용 대출을 원천 차단하는 가장 강력한 수단이다. 대출받을 때만 잠깐 풀면 된다.
• 사기 경보(fraud alert)를 설정하라. 동결보다 약하지만, 1곳에만 신청해도 3사에 공유된다.
• 제공된 무료 신용 모니터링은 챙겨라. 비용 0원이니 안 받을 이유가 없다.
• 중요 계정에 MFA를 켜라. 아이러니하게도 이 사건의 원인이 ‘MFA 미적용’이었다. 당신 계정은 같은 실수를 반복하지 마라.
• 비밀번호를 재사용하지 마라. 인포스틸러로 털린 비번이 다른 서비스에서 재사용되면 연쇄 피해로 이어진다. 비밀번호 관리자를 쓰라.

디지털 방어를 전반적으로 강화하고 싶다면 VPN, 비밀번호 관리자, MFA를 묶어 ‘기본 위생’으로 생각하라. 핵심은 ‘공개 와이파이에서 민감 로그인 금지’라는 원칙이다. 데이터 유출의 뿌리가 결국 ‘약한 자격증명’임을 기억하라.

---

반드시 피해야 할 2차 사기 수법

데이터 유출이 터지면 그 뉴스 자체를 미끼로 쓰는 사기가 급증한다. 이것이 유출의 ‘진짜 2차 피해’다. 다음 신호를 외워두라.

• “지금 바로 보상받으세요” + 링크: 공식 합의는 문자 링크로 재촉하지 않는다.
• 선입금·수수료·‘참여비’ 요구: 소비자 집단소송은 성공보수제라 선입금이 없다. 돈을 요구하면 100% 사기다.
• 주민번호 전체·은행 로그인·일회용 인증번호(OTP) 요구: 공식 청구서는 신원 확인용 최소 정보만 요구하며, OTP를 통째로 달라고 하지 않는다.
• ‘정부기관·FTC 사칭’: FTC나 법원이 직접 전화해 합의금을 주겠다며 개인정보를 요구하는 일은 없다.

변호사를 사칭하거나 “당신을 대리하겠다”며 접근하는 경우도 있다. 정식 소송 대리가 필요한 상황이라면, 이런 콜드콜에 응하지 말고 직접 검증된 변호사를 찾아 상담하라. 변호사 선임 원칙은 분야가 달라도 통하는데, 감전 사고 전문 변호사 선임 가이드에서 설명한 ‘성공보수 구조 확인 → 과거 유사사건 경험 검증 → 서면 계약’ 원칙은 데이터 유출 소송 변호사를 고를 때도 그대로 적용된다.

---

요약: 지금 당장 해야 할 세 가지

복잡해 보이지만 소비자가 할 일은 단순하다. 첫째, 당신이 거래한 기업의 공식 통지를 확인하라. 둘째, 공짜 방어 조치(신용 동결·MFA)를 즉시 실행하라. 셋째, 공식 합의 사이트가 열리면 기한 내 청구서를 제출하되, 그 전까지 오는 모든 ‘보상 문자’는 사기로 간주하라.

스노우플레이크 사건이 우리에게 남긴 교훈은 분명하다. 당신의 데이터는 당신이 직접 거래한 회사뿐 아니라, 그 회사가 쓰는 ‘보이지 않는 클라우드 벤더’에까지 흘러간다는 것. 그리고 그 사슬의 어느 약한 고리 하나만 뚫려도 당신이 피해자가 될 수 있다는 것. 그러니 ‘내가 아무것도 안 해도 누군가 지켜주겠지’라는 기대를 버리고, 스스로 방어선을 치는 것이 가장 확실한 보상이다.

---

관련 글 더 읽기

• 👉 자동차 사고 후유장해 보상 청구 가이드
• 👉 부당사망(Wrongful Death) 전문 변호사 가이드
• 👉 미끄러짐·낙상 사고 청구 완벽 정리
• 👉 감전 사고 전문 변호사 선임 가이드
• 👉 챗GPT 메모리 기능 심층 분석: 내 데이터는 어떻게 쌓이나

---

이 글은 일반적인 정보 제공을 목적으로 하며, 법률 자문이나 특정 소송 참여 권유가 아닙니다. 데이터 유출 피해와 집단소송의 구체적 요건·보상·기한은 사건별로 다르고 시점에 따라 변합니다. 실제 대응 전 반드시 법원이 지정한 공식 합의 사이트, 법원 docket, 그리고 자격 있는 미국 변호사를 통해 최신 정보를 확인하시기 바랍니다.