개인정보 보호 법규 위반 2개 사업자 과징금·과태료 7261만원

[동양뉴스] 서다민 기자 = 개인정보보호위원회는 9일 제8회 전체회의를 열고, 개인정보 보호 법규를 위반한 2개 사업자에 대해 총 5851만원의 과징금 및 1410만원의 과태료를 부과하고, 공표 및 공표명령을 의결했다고 10일 밝혔다.

개인정보위에 따르면 ㈜클래스유는 신원 미상의 자(이하 ‘해커’)가 알 수 없는 방법으로 획득한 데이터베이스(DB) 관리자 계정을 통해 2023년 8월 1일~2024년 7월 25일 동안 ㈜클래스유의 DB에 접속해 이용자 약 160만 명의 개인정보를 유출했다.

조사 결과, ㈜클래스유는 다수의 안전조치 의무를 위반한 것으로 밝혀졌다. 우선 개인정보처리시스템(DB)에 접근할 수 있는 접근권한을 아이피(IP) 주소 등으로 제한하지 않았으며, 다수의 개인정보취급자가 정당한 사유 없이 하나의 관리자 계정을 공유하고 있었다. 또한 이용자의 주민등록번호 및 계좌번호를 암호화하지 않고 저장한 사실도 확인됐다.

아울러 처리 목적을 달성한 이용자의 신분증 사본을 파기하지 않고 보관한 사실과 개인정보 유출 인지 후 정당한 사유 없이 72시간을 경과해 유출 통지한 사실도 확인했다. 하지만 위반행위자의 재무상황 등 현실적인 부담능력을 고려해 과징금 부과액에 대해 감경 규정을 적용했다.

이에 개인정보위는 ㈜클래스유에 과징금 5360만원과 과태료 720만원을 부과하고 사업자 홈페이지에 처분받은 사실을 공표하도록 명령하는 한편, 보안 취약점 점검·조치 등 구체적인 개인정보 보호 강화 계획을 수립해 이행할 것을 시정명령하고, 개인정보위는 이행결과를 면밀히 점검할 방침이다.

㈜케이티알파는 해커가 2023년 1월 28일~2월 6일 동안 ㈜케이티알파가 운영 중인 기프티쇼(모바일 상품권 판매) 웹사이트의 로그인 페이지에 ‘크리덴셜 스터핑’ 공격을 시도해 기프티쇼 회원의 개인정보를 유출했다.

개인정보위 조사 결과에 따르면, 이 기간동안 해커는 ‘기프티쇼’ 웹사이트에 4305개의 IP 주소를 사용해 총 540만 번 이상 대규모로 로그인을 시도했으며, 약 9만8000명의 회원 계정으로 로그인에 성공했다. 이 중 51명의 계정으로 개인정보가 포함된 웹페이지에 접근해 회원 개인정보를 열람함과 동시에, 포인트를 무단 사용하는 등 2차 피해도 야기시켰다.

이는 ㈜케이티알파가 특정 IP 주소에서 대량의 반복적인 로그인 시도 등 비정상적인 접속 시도가 발생할 경우, 이를 탐지하고 차단하기 위한 침입 탐지·차단 정책 관리와 이상행위 대응 체계 운영 등 안전조치의무를 소홀히 했기 때문으로 밝혀졌다.

다만, 해커가 약 9만8000명의 회원 계정으로 로그인에는 성공했으나, ㈜케이티알파가 다수의 웹페이지 내 개인정보 마스킹 조치 등 사전 조치를 했기 때문에 실제로 개인정보가 유출된 규모는 51명에 그친 것으로 확인됐다.

또한, 조사 과정에서 ㈜케이티알파는 개인정보 유출 인지 후 정당한 사유 없이 24시간을 경과해 유출 통지한 사실이 확인됐다.

이에 개인정보위는 ㈜케이티알파에 과징금 491만원과 과태료 690만원을 부과하고, 처분받은 사실을 개인정보위 홈페이지에 공표하기로 했다.

개인정보처리자는 처리 중인 개인정보가 유출되지 않도록 개인정보처리시스템에 대해 인가받은 자만 접속을 허용하는 등 접근통제 조치가 필수적이며, 크리덴셜 스터핑 공격을 예방하기 위해 이상행위에 대한 침입 탐지·차단 정책 적용 등 안전조치도 중요하지만, 개인정보가 포함된 웹페이지에 대한 마스킹 정책 등을 적용하는 것도 개인정보 유출 피해를 줄이는 데에 큰 도움이 될 수 있다고 개인정보위는 당부했다.