서던컴퍼니 정보유출, 숫자를 세는 쪽은 회사뿐…약 40만 계정, 시점·원인도 미공개

서던컴퍼니·+1.44% — 서던컴퍼니, up 1.44 percent as of its last quote는 한 달 새 외부 인터넷에 개방된 시스템을 통해 고객 데이터가 유출된 미국 대형 유틸리티↗ 가운데 두 번째다⁷. 이번 사태에 붙은 유일한 숫자는 회사가 스스로 제시한 온라인 고객 포털을 통해 약 40만 고객 계정에 접근했다는 내용↗이다¹². 회사는 침입 시점도, 발생 경위도 밝히지 않았다¹. 해당 고객들에게는 이번 주 우편과 이메일로 통지가 나가고 있다¹². 이번 유출이 실적에까지 번지는지는 11월 5일 첫 시험대에 오른다⁵.

뚫린 곳은 전력망이 아니라 고객 포털

애틀랜타에 본사를 둔 서던컴퍼니는 조지아파워·앨라배마파워·미시시피파워를 거느린 모회사다. 회사는 10월 5일 허가받지 않은 제3자가 제한된 범위의 계정 정보에 접근했다고 밝혔다. 이름, 주소, 전화번호, 이메일, 그리고 사회보장번호와 사업자 세금 ID 뒤 네 자리다¹. 은행 계좌번호와 결제카드번호, 운전면허번호는 노출되지 않았다고 회사는 설명하며, 피해 고객에게는 1년간 무료 신용 모니터링을 제공한다².

이 가운데 약 30만 계정은 고객 280만 명에 전력을 공급하는 조지아파워에 몰려 있다²³. 10만 계정은 앨라배마파워 것이다. 미시시피파워도 피해 대상으로 거명됐지만 별도 규모는 나오지 않았다¹. 센터포인트에너지도 지난 9월 미국 증권거래위원회(SEC) 제출 서류로 자사 유출 사태를 공시했는데, 이 역시 외부에 개방된 시스템을 통한 것이었다⁷.

집계를 지탱하는 건 회사의 말뿐

전국 규모의 집단소송 전문 로펌 에델슨 렉틴(Edelson Lechtzin)이 10월 9일 조사에 착수했다↗. 집단소송 로펌 아데미(Ademi LLP)가 10월 14일 뒤를 이었다↗¹⁴. 아데미는 공지에서 유출됐을 가능성이 있는 정보에 금융 계좌와 결제카드 데이터를 포함시켰다. 서던컴퍼니가 접근된 적이 없다고 못 박은 항목들이다⁴². 청구 주장과 공시 내용 사이의 이 간극이 바로 이런 사건들의 승부처다.

센터포인트에너지 사태에서는 텍사스주 법무장관이 현재 피해 텍사스 주민을 106만2060명으로 집계하면서, 이 회사가 아직 이들에게 통지하지 않았다고 밝혔다⁷. 서던컴퍼니에서는 10월 5일 성명 이후 어떤 규제기관의 집계도 나오지 않았다. 그사이 애틀랜타 저널컨스티튜션은 포털 침해 시점을 공시 직전 한 주로 특정했지만↗, 회사는 아무런 확인도 해주지 않았다³¹.

11월 5일이 유출 사태의 실적 영향 여부를 가른다

이번 분기에는 이미 허리케인 이사이아스의 족적이 남아 있다. 서던컴퍼니의 유틸리티들은 10월 10일까지 약 42만 고객의 전력 공급을 복구했고, 약 8만 고객은 아직 정전 상태였다⁵. 애널리스트들은 주당순이익(EPS) 1.65달러를 기대하고 있다. 전년 동기는 1.60달러였다⁵. 매출 컨센서스는 82억6000만 달러로, 지난해 같은 분기의 78억2000만 달러를 웃돈다⁵.

시가총액 약 1000억 달러⁵ 규모 회사에게 신용 모니터링과 법적 방어 비용은 작은 몫이다. 다만 규제 대상 유틸리티에게 이런 비용은 요금을 정하는 주(州) 공익사업위원회 앞에서 따져지는 문제다. 그래서 이번 사안에서는 손해배상보다 공시가 더 중요하다. 미국은행(BofA)과 JP모건은 10월 13일 목표주가를 내렸다↗⁵. 키뱅크(KeyBanc)의 소피 카프 애널리스트는 목표주가 74달러에 매도 의견을 유지하고 있다. 여전히 90달러대에 몰려 있는 목표주가 가운데 홀로 동떨어진 값이다⁵⁶.

회사 내부에서도 심리는 부정적으로 읽힌다. 지난 분기 내부자 51명이 순매도에 나섰다↗⁶. 회계책임자(Comptroller) 매튜 M. 킴은 지난달 1400주를 12만4418달러에 팔았다⁶.

유출 건수를 스스로 세놓고도 발생 시점조차 밝히지 않는 회사가 이제 40만 고객과 두 로펌, 그리고 주(州) 공익사업위원회에 자신의 산수를 믿어 달라고 하고 있다. 그 신뢰의 값이 얼마인지, 11월 5일이 첫 시험대다.