대상: Covered California와 일하는 면허 보험 에이전트, 브로커, 에이전시 직원 및 이들을 고용하는 조직. 이 글은 캘리포니아주 법무장관에게 제출된 에이전트 대상 Covered California 통지를 바탕으로 작성되었으며 공격 수법은 다루지 않습니다.
진행 중: 조직이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 30일 기준아직 알려지지 않음
- 영향받은 에이전트 수
- 접근이 이루어진 방법과 지속 기간
- 소비자(가입자) 데이터가 관련되었는지 여부
- 데이터가 악용되었는지 여부
- 신용 모니터링 같은 지원이 제공될지 여부
Covered California는 사고의 범위를 검토하고 후속 조치를 취하고 있으며 보안 절차를 강화하고 있다고 밝혔습니다. 추가 발표 시점은 밝히지 않았습니다.
에이전트와 에이전시 직원이 오늘 해야 할 일
통지를 받았는지 확인하세요
제출된 통지는 에이전트에게 이메일로 보내는 서한의 견본입니다(법무장관은 이를 날짜와 수신자 자리 표시자가 있는 샘플 통지라고 부름). "Notice of Data Breach"라는 제목이 붙고 Covered California의 개인정보 책임자 서명이 있습니다. 당신의 정보가 다른 에이전트에 관한 정보와 함께 공개되었다고 밝힙니다.
통지를 기대했는데 받지 못했다면 통지는 문의처로 AgentContracts@Covered.Ca.Gov를 제시합니다. Covered California가 인원 수를 발표하지 않았으므로 몇 명의 에이전트가 받았는지는 말할 수 없습니다.
3대 신용평가 기관에 사기 경보를 설정하세요
Covered California는 신용 파일에 사기 경보를 설정하라고 권고합니다. 사기 경보는 대출 기관이 새 계좌를 열기 전에 본인 확인을 위한 추가 절차를 밟도록 알립니다. 통지는 신용평가 기관을 나열합니다: Equifax(800-525-6285, equifax.com), Experian(888-397-3742, experian.com), TransUnion(800-680-7289, transunion.com).
신용 동결도 고려하세요
이 사이트의 견해: 사회보장번호가 항목에 포함될 수 있으므로 신용 동결은 경보보다 강력한 조치입니다. 동결은 대부분의 대출 기관이 신용 파일을 보지 못하게 하므로 보통 당신 명의의 새 계좌는 거절됩니다. 미국에서는 각 기관에서 설정과 해제가 무료입니다. 본인이 신용을 신청할 때는 일시적으로 해제하세요.
FEIN이 노출되었다면 사업용 계정을 지켜보세요
통지는 "FEIN 또는 사회보장번호"라고 하며 누구에게 어느 것이 해당하는지 밝히지 않습니다. 사업자로 활동하고 FEIN이 해당 항목이었다면 사업용 은행, 세금, 신용 계정에 본인이 시작하지 않은 활동이 있는지 확인하세요. 사회보장번호가 해당 항목이었다면 위의 개인 조치가 적용됩니다.
기록을 검토하고 의심스러운 활동을 신고하세요
통지는 의심스러운 이메일, 전화 또는 기타 연락에 경계하고, 기록을 검토하고, 의심스러운 활동은 즉시 신고하라고 요청합니다. 캘리포니아주 법무장관의 "Breach Help" 소비자 팁이 통지에 동봉되어 있으며, 법무부의 개인정보 페이지는 oag.ca.gov/privacy입니다.
무슨 일이 있었나요(Covered California 기준)
아래 내용은 Covered California가 캘리포니아주 법무장관에게 제출한 통지 견본과 법무장관의 유출 목록을 바탕으로 합니다.
2026년 5월 13일
법무장관 목록과 통지에 따른 피싱 사고 일자.2026년 10월 16일
법무장관 목록에 따른 캘리포니아주 법무장관에 대한 유출 보고 일자.10월 30일 기준
후속 통지는 발견되지 않았습니다. 통지는 에이전트에게 발송된 날짜를 밝히지 않습니다.
- 조직
- Covered California(캘리포니아의 건강보험 마켓플레이스)
- 무슨 일이 있었나
- 무단 개인이 피싱 수법으로 에이전트에 관한 정보에 접근. 수신자에 관한 정보가 다른 에이전트와 함께 공개됨
- 스프레드시트 내 항목
- 이름, 에이전시 이름, 면허 번호, FEIN 또는 사회보장번호, 에이전시 내 역할
- 취한 조치
- 재발 위험을 줄이기 위해 보안 절차와 관행 강화; 사고 범위를 검토하고 후속 조치
- 통지의 조언
- 의심스러운 연락에 경계, 기록 검토, 의심스러운 활동 신고, 3대 신용평가 기관에 사기 경보 설정, 법무장관의 Breach Help 팁 따르기
확인된 내용과 확인되지 않은 내용
2026년 10월 30일 기준 상태입니다. Covered California가 더 많은 정보를 발표하면 상태 열을 업데이트하겠습니다.
| 항목 | 통지 내용 | 상태 |
|---|---|---|
| 사고 일자 | 2026년 5월 13일 | 확인됨(Covered California) |
| 캘리포니아주 법무장관에 대한 보고 | 2026년 10월 16일 | 확인됨(법무장관 목록) |
| 이름, 에이전시 이름, 면허 번호, 역할 | 스프레드시트에 포함됨 | 확인됨(Covered California) |
| FEIN 또는 사회보장번호 | 포함됨; 어느 에이전트에게 어느 것이 해당하는지는 밝히지 않음 | 확인됨(Covered California) |
| 방법 | 피싱 수법 | 확인됨(세부 사항은 공개되지 않음) |
| 영향받은 에이전트 수 | 밝히지 않음 | 조사 중 |
| 소비자(가입자) 데이터 | 통지에 언급 없음 | 명시되지 않음 |
| 데이터 악용 | 통지에 언급 없음 | 명시되지 않음 |
| 신용 모니터링 또는 신분 보호 | 통지에서 제공하지 않음 | 명시되지 않음 |
| 개별 통지 | 제출된 견본은 에이전트에게 이메일로 보내는 형식; 발송 일자와 수신자 수는 밝히지 않음 | 견본만 있음(발송은 명시되지 않음) |
읽는 법: '언급 없음'은 '일어나지 않았음'이 아닙니다
통지는 에이전트 정보만 다룹니다. 소비자 데이터가 언급되지 않았다고 해서 관련이 없다는 진술은 아니며, Covered California는 범위를 아직 검토 중이라고 밝혔습니다. 어느 쪽이든 단정하지 말고 상태 열을 확인하세요.
이런 항목은 어디에 쓰일 수 있나요
일반적으로 다음 조합은 아래와 같이 악용될 수 있습니다. 이번 사고에서 그런 일이 있었다는 뜻은 아닙니다.
- 사회보장번호 또는 FEIN + 이름: 피해자 명의로 신용 계좌를 개설하거나, 허위 세금 신고를 제출하거나, 계정을 탈취하는 데 쓰임
- 면허 번호, 에이전시 이름, 역할: 보험사, 마켓플레이스 또는 면허 당국에서 온 것처럼 보이는 설득력 있는 메시지를 에이전트에게 쓸 수 있게 함
- 에이전트 신원 정보 일반: 소비자에게 에이전트를 사칭하려는 시도에 쓰일 수 있으며, 에이전트와 일하는 소비자가 연락처를 별도로 확인해야 하는 이유
직원이나 에이전트 식별자를 스프레드시트에 보관하는 조직을 위해
통지는 노출된 정보가 스프레드시트에 있었고 세금 및 신분증 번호가 포함되었다고 밝힙니다. 피싱 외에 접근이 어떻게 이루어졌는지는 밝히지 않으므로 이 섹션은 Covered California의 대책을 평가하지 않습니다. 아래는 자신의 파일에서 직접 해 볼 수 있는 일반적인 점검입니다.
통지: 사회보장번호 또는 FEIN이 에이전트 스프레드시트에 있었음
↓→
공유 스프레드시트에 신분증 번호 전체가 들어 있나요?
→ 9자리 패턴을 검색하고, 가능하면 마지막 4자리만 보관
통지: 접근은 피싱 수법으로 시작됨
↓→
탈취된 로그인 하나로 파일 저장소를 열 수 있나요?
→ 이런 파일에 접근하는 계정에는 피싱에 강한 로그인(패스키) 요구
통지: 5월 13일 사고, 10월 16일 제출
↓→
누가 어떤 민감한 파일을 보유하는지 알고 있나요?
→ 범위에 빠르게 답할 수 있도록 목록 유지
공유 파일에서 신분증 번호 전체를 찾으세요
공유 드라이브와 메일함에서 9자리 숫자 패턴과 SSN, FEIN, 세금 ID 같은 열 이름을 검색하세요. 스프레드시트에서 사람을 식별해야 한다면 가려진 값(마지막 4자리)이나 내부 ID로 보통 충분합니다.
이런 파일에 접근하는 계정에는 피싱당하지 않는 로그인을 요구하세요
가짜 페이지에 입력한 비밀번호는 그것을 수집한 사람이 재사용할 수 있습니다. 패스키는 진짜 사이트에 묶여 있어 유사 페이지는 쓸 수 있는 것을 수집할 수 없습니다. 가장 민감한 폴더를 열 수 있는 계정부터 시작하세요.
민감한 파일이 어디에 있는지 목록을 유지하세요
어떤 파일에 어떤 항목이 있었고 누가 열 수 있었는지 빠르게 말할 수 있어야 조직이 관련자에게 정확히 무엇이 노출되었는지 알릴 수 있습니다.
출처(공개 자료)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 침입 경로나 수법은 추측하지 않았습니다.
- 캘리포니아주 법무부 법무장관실, "Submitted Breach Notification Sample: Covered California"(유출 일자 2026년 5월 13일) — oag.ca.gov
- Covered California, 에이전트 대상 통지 "Notice of Data Breach"(법무장관에게 제출된 샘플 서한) — oag.ca.gov
- 캘리포니아주 법무부, Data Security Breach Reports 목록(보고 일자 2026년 10월 16일) — oag.ca.gov
업데이트 기록
2026-10-30: 최초 버전. 캘리포니아주 법무장관에게 제출된 통지 견본과 유출 목록(10월 30일 확인)을 바탕으로 작성했습니다. Covered California는 사고 범위를 검토 중이라고 밝혔으며, 더 많은 정보가 발표되면 이 글을 업데이트합니다.
다음으로 읽기
- 유출 이후의 사기: 피싱이란? / 비밀번호 유출 여부 확인 방법
- 계정 보호: 다요소 인증 가이드 / 패스키란?
- 2026년 기타 사고: 2026년 데이터 유출 및 사이버 공격