“물은 안새는데 개인정보가 샜네”…락앤락 등에 제재

개인정보처리시스템 접근통제와 접속기록 관리 등을 소홀히 해 개인정보 유출 사고를 낸 락앤락·유베이스·썬포토가 총 7억100만 원의 과징금을 부과받았다.

개인정보보호위원회는 8일 제13회 전체회의를 열고 개인정보 보호 법규를 위반한 3개 사업자에 대해 과징금 7억100만 원과 과태료 540만 원을 부과하고, 제재 사실을 각 사업자 홈페이지에 공표하도록 의결했다고 9일 밝혔다.

락앤락은 과징금 5억300만 원과 과태료 540만 원을 부과받았다. 해커는 2024년 4월 메일 서버 취약점을 악용해 내부 시스템에 침입한 뒤 같은 해 5월 회원 데이터베이스(DB)를 유출했다. 이어 11월에도 내부 시스템에 다시 침입해 파일서버 내 업무자료 등을 빼냈다. 이 과정에서 이름·휴대전화번호·주소 등 회원 약 130만 명의 개인정보와 임직원 주민등록증·운전면허증·통장 사본 등 개인정보 1111건이 유출됐다.

개인정보위 조사 결과 락앤락은 유출 과정에서 발생한 비정상적인 대용량 트래픽을 탐지·대응하지 못했고, 해커의 협박메일을 받은 뒤에야 유출 사실을 인지한 것으로 확인됐다. 또 2022년 공개된 보안 취약점을 업데이트하지 않았고, 주요 서버 관리자 계정에 같은 비밀번호를 사용했으며, 고유식별정보를 암호화하지 않은 것으로 조사됐다. 임직원 개인정보와 폐점 매장 구매자 정보 등 4만9466건을 파기하지 않은 사실도 적발됐다.

콜센터 아웃소싱 업체 유베이스에는 과징금 1억6800만 원이 부과됐다. 해커는 2024년 4월 유베이스 대표 홈페이지 관리자 계정으로 접속해 문의게시판 이용자 1852명의 이름, 전화번호, 이메일, 회사명 등을 유출하고 이를 텔레그램에 게시했다. 유베이스는 외부에서 관리자 페이지 접속이 가능하도록 운영하면서도 접속 권한을 인터넷 프로토콜(IP) 주소 등으로 제한하지 않았고, 아이디와 비밀번호만으로 접속할 수 있도록 해 추가 인증수단을 적용하지 않은 것으로 나타났다. 접속기록 보관·관리도 미흡했다.

사진·영상장비 판매업체 썬포토에는 과징금 3000만 원이 부과됐다. 해커는 2024년 8월 썬포토 웹사이트 관리자 계정으로 접속해 회원 약 17만 명의 이름, 아이디, 휴대전화번호, 성별 등 개인정보와 주문정보 13건을 유출했다. 이후 주문자 1명에게 썬포토 직원을 사칭한 보이스피싱을 시도한 사실도 확인됐다. 썬포토 역시 관리자 페이지 접속 권한을 IP 주소 등으로 제한하지 않았고, 접속기록을 제대로 보관·관리하지 않은 것으로 조사됐다.

최근 개인정보 유출 사고는 정교한 해킹 수법만이 아니라 기초적인 보안관리 부실에서 출발하는 사례도 반복되고 있다. 관리자 페이지를 외부 접속이 가능한 상태로 운영하면서 IP 접근 제한이나 다중 인증을 두지 않거나, 이미 알려진 보안 취약점을 제때 보완하지 않으면 공격자가 개인정보처리시스템에 비교적 손쉽게 침입할 수 있다.

개인정보위는 개인정보처리시스템에 대한 접근통제 미흡, 안전한 인증수단 미적용 등 기본적인 안전조치 소홀로 인한 유출 사고가 지속되고 있다며, 개인정보처리자는 개인정보처리시스템 접속 권한을 IP 주소 등으로 제한하고 외부 접속이 필요한 경우 아이디·비밀번호 외 추가 인증수단을 적용해야 한다고 당부했다.

구혁 기자