'北 해킹으로 개인정보 유출' 법원행정처, 과징금 2억원

북한의 해킹으로 약 1만 8000명의 개인정보 유출을 당한 법원행정처가 2억 원의 과징금을 내게 됐다.

개인정보보호위원회는 8일 전체회의를 열고 법원행정처에 총 2억 700만 원의 과징금과 600만 원의 과태료를 부과하고 개선권고하기로 의결했다고 9일 밝혔다.

경찰청 국가수사본부에 따르면 북한 해킹조직 라자루스는 2021년 1월부터 2023년 2월까지 법원 전산망에 침입해 다량의 소송 관련 문서가 포함된 1014기가바이트(㎇) 분량의 데이터를 외부로 전송했다.

법원행정처는 이용상 편의를 위해 내부망과 외부망 간 상호 접속이 가능하도록 포트(네트워크 통신 통로)를 개방·운영했다. 해커는 포트를 통해 침입해 내부망의 전자소송 서버에 저장된 데이터를 손쉽게 빼갔다. 경찰이 복원된 4.7㎇의 파일을 분석한 결과 해당 데이터에서 주민등록번호를 포함한 1만 7998명의 개인정보(이름, 주민등록번호, 생년월일, 연락처, 주소 등)가 확인됐다.

개인정보위 조사 결과 법원행정처는 PDF로 변환한 소송 관련 문서를 전자소송 서버에 저장·보관하면서 주민등록번호가 포함된 소송문서를 암호화하지 않았다. 인터넷가상화시스템 계정을 관리하는 인터넷AD서버 관리자 계정과 인터넷가상화PC 취급자 계정의 비밀번호를 유추하기 쉬운 해당 계정의 초기 비밀번호 그대로 사용했다. 내부망의 인터넷가상화웹서버에 백신 소프트웨어 등 보안프로그램을 설치하지 않고 운영하는 등 기본적인 안전조치가 이뤄지지 않았다.

법원행정처는 2023년 2월 악성파일을 탐지하고 자체조사를 진행해 같은 해 4월 유출 정황을 인지했다. 하지만 반년 이상 지난 12월 7일에야 개인정보 유출 신고를 하고 홈페이지에 유출 관련 안내문을 게시했다.

개인정보위는 과징금 등을 부과하는 한편 개인정보처리시스템 운영체계 및 조직·인력, 관련 규정 등 보호체계 전반에 걸쳐 안전조치 실태를 점검하도록 개선권고했다. 개인정보 보호조치 수준 향상 방안도 마련하도록 했다.

개인정보위는 “대량의 개인정보를 처리하는 공공기관들은 보안 프로그램 설치·운영이나 각종 운영체제 등에 대한 보안 업데이트 등 안전조치와 관련된 의무사항을 반드시 이행하는 것은 물론 외부의 불법접근 시도에 대해서도 상시 모니터링 하는 등 각별한 주의가 필요하다”고 말했다.