[뉴스토마토 전연주 기자] 개인정보보호위원회(개보위)가 개인정보 보호조치를 소홀히 해 대규모 개인정보 유출 사고를 낸 락앤락과 유베이스, 썬포토 등 3개 사업자를 제재했습니다. 특히 약 130만명의 개인정보가 유출된 락엔락에 대해서는 과징금 5억300만원 및 과태료 540만원을 부과했습니다.
송경희 개인정보보호위원회 위원장이 지난 8일 정부서울청사에서 열린 제13회 전체회의에서 의사봉을 두드리고 있다. (사진=개보위)
개보위는 지난 8일 열린 제13회 전체회의에서 이들 사업자에 과징금 총 7억100만원과 과태료 540만원을 부과하고, 처분 사실을 각사 홈페이지에 공표하도록 의결했다고 9일 밝혔습니다. 세 사업자 모두 개인정보처리시스템 접근통제와 접속기록 관리 등 기본적인 안전조치 의무를 제대로 이행하지 않은 것으로 조사됐습니다.
가장 큰 제재를 받은 곳은 락앤락입니다. 락앤락은 지난 2024년 두 차례 해킹을 당해 회원 약 130만명의 이름과 휴대전화번호, 주소 등이 유출됐습니다. 유출된 항목은 임직원의 주민등록증과 운전면허증, 통장 사본 등으로 개인정보 1111건이 외부로 빠져나갔습니다.
개보위 조사 결과 락앤락은 2022년 공개된 보안 취약점을 제때 보완하지 않았고, 주요 서버 관리자 계정에 동일한 비밀번호를 사용한 것으로 나타났습니다. 고유식별정보도 암호화하지 않았고, 임직원 개인정보와 폐점 매장 구매자 정보 약 4만9000건도 파기하지 않았습니다.
유출 과정에서 발생한 비정상적인 대용량 트래픽도 탐지하지 못했습니다. 락앤락은 해커의 협박메일을 받고 나서야 유출 사실을 인지한 것으로 확인됐습니다. 이에 개보위는 락앤락에 과징금 5억300만원과 과태료 540만원을 부과했습니다.
유베이스는 대표 홈페이지 관리자 계정이 해킹되면서 문의게시판 이용자 1852명의 이름과 전화번호, 이메일, 회사명 등이 유출됐습니다. 해커는 빼낸 정보를 텔레그램에 게시했습니다.
개보위는 유베이스가 외부에서도 관리자 페이지에 접속할 수 있도록 운영하면서 IP 주소 등으로 접근 권한을 제한하지 않았고, 추가 인증수단 없이 아이디와 비밀번호만으로 접속할 수 있게 한 점을 문제로 봤습니다. 접속기록 보관과 관리도 미흡했습니다. 유베이스에는 과징금 1억6800만원이 부과됐습니다.
썬포토에서는 회원 약 17만명의 이름과 아이디, 휴대전화번호, 성별 등의 개인정보와 주문정보 13건이 유출됐습니다. 유출된 정보를 이용해 주문자 1명에게 썬포토 직원을 사칭한 보이스피싱이 시도된 사실도 확인됐습니다.
썬포토 역시 관리자 페이지 접근 권한을 IP 주소 등으로 제한하지 않았고, 개인정보처리시스템 접속기록을 보관·관리하지 않았습니다. 개보위는 썬포토에 과징금 3000만원을 부과했습니다.
개보위는 이번 사고들이 고도화된 해킹 기술보다 기본적인 보안수칙 미준수에서 비롯됐다고 봤습니다. 관리자 페이지 외부 접속을 제한하지 않거나, 아이디와 비밀번호 외 추가 인증수단을 적용하지 않는 등 기초적인 접근통제가 제대로 이뤄지지 않았다는 겁니다.
개보위는 개인정보처리시스템에 대한 접속 권한을 IP 주소 등으로 제한하고, 외부 접속이 필요한 경우 추가 인증수단을 적용해야 한다고 당부했습니다. 또 접속기록을 주기적으로 점검하고 이미 공개된 보안 취약점도 신속히 업데이트해야 한다고 강조했습니다.
전연주 기자 kiteju1011@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김충범 테크지식산업부장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지