약 23만명의 개인정보를 유출한 몽클레르코리아가 개인정보보호법 위반으로 과징금과 과태료를 부과받았다.
개인정보보호위원회는 11일 전체 회의에서 몽클레르코리아에 과징금 8101만원, 과태료 720만원을 부과하기로 의결했다.
몽클레르는 2021년 12월 해킹으로 고객 정보가 유출됐고, 2022년 1월 17일 이를 인지했다. 그러나 이용자 통지는 1월 20일, 개인정보위 신고는 1월 22일에야 이뤄져 당시 법정 기한인 24시간을 넘겼다.
유출된 개인정보는 성명, 생일, 이메일 주소, 카드번호, 배송방법, 쇼핑 특성, 신체 사이즈를 제외한 구매 정보 등이다.
해커, 관리자 계정 탈취해 서버 장악
조사 결과, 해커는 관리자 권한을 가진 직원 계정을 탈취한 뒤 도메인 컨트롤러 서버에 악성코드를 심어 고객 정보를 빼내고 기존 데이터를 암호화했다.
특히 몽클레르는 2019년 6월부터 웹사이트를 운영하면서도 직원이 개인정보처리시스템에 접속할 때 OTP(일회용 비밀번호) 등 추가 인증 절차를 적용하지 않아 보안 관리에 허술했던 것으로 드러났다.
개인정보위는 “개인정보처리자는 직원이 정보통신망을 통해 관리자 페이지 등 개인정보처리시스템에 접속할 때 아이디·비밀번호 외에 일회용 비밀번호 등 안전한 인증수단을 추가로 사용해야 한다”고 당부했다.
