[이뉴스투데이 이승준 기자] 개인정보보호위원회가 개인정보를 유출한 2개 사업자에 과징금·과태료를 부과하고 해당 사실을 공표했다.
개인정보위는 지난 9일 제8회 전체회의를 열고 개인정보보호 법규를 위반한 2개 사업자에 대해 총 5851만원 과징금과 1401만원의 과태료를 부과하고 공표 및 공표명령을 의결했다고 13일 밝혔다.
◇‘클래스유’에 과징금 5360만원 및 과태료 720만원
먼저 개인정보위는 클래스유에 과징금 5360만원과 과태료 720만원을 부과하고 사업자 홈페이지에 처분받은 사실을 공표하도록 명령하는 한편, 보안 취약점 점검·조치 등 구체적인 개인정보 보호 강화 계획을 수립해 이행할 것을 시정명령하고, 개인정보위는 이행결과를 면밀히 점검할 방침이다.
클래스유의 경우 신원 미상의 자가 알 수 없는 방법으로 획득한 데이터베이스(DB) 관리자 계정을 통해 2023년 8월 1일부터 2024년 7월 25일까지의 클래스유 DB에 접속, 이용자 약 160만명의 개인정보를 유출한 것으로 파악됐다.
조사 결과, 클래스유는 다수의 안전조치 의무를 위반한 것으로 밝혀졌다. 우선 DB 시스템에 접근할 수 있는 접근 권한을 아이피(IP) 주소 등으로 제한하지 않았으며, 다수의 개인정보취급자가 정당한 사유 없이 하나의 관리자 계정을 공유하고 있었다. 이용자의 주민등록번호 및 계좌번호를 암호화하지 않고 저장한 사실도 확인됐다.
처리 목적을 달성한 이용자의 신분증 사본을 파기하지 않고 보관한 사실과 개인정보 유출 인지 후 정당한 사유 없이 72시간을 경과해 유출 통지한 사실도 확인했다. 하지만 위반행위자의 재무상황 등 현실적인 부담능력을 고려해 과징금 부과액에 대해 감경 규정을 적용했다.
◇케이티알파에 과징금 491만원 및 과태료 690만원
개인정보위는 케이티알파에 과징금 491만원과 과태료 690만원을 부과하고, 처분받은 사실을 개인정보보호위원회 홈페이지에 공표하기로 했다.
케이티알파의 경우 케이티알파가 운영 중인 모바일 상품권 판매 사이트 기프티쇼가 문제됐다. 해커는 2023년 1월 28일부터 같은 해 2월 6일까지 기프티쇼 웹사이트의 로그인 페이지에 ‘크리덴셜 스터핑(Credential Stuffing)’ 공격을 시도, 기프티쇼 회원의 개인정보를 유출했다.
크리데션 스터핑은 사전에 확보한 다수의 아이디·비밀번호 정보를 무차별 대입해 접속(로그인)을 시도하는 공격 방식으로 로그인 시도 횟수와 로그인 실패율이 급증하는 특징을 보인다.
개인정보위 조사 결과에서는 위 기간 동안 해커는 ‘기프티쇼’ 웹사이트에 4305개의 IP 주소를 사용해 총 540만 번 이상 대규모로 로그인을 시도했으며, 약 9만8000명의 회원 계정으로 로그인에 성공한 것으로 나타났다. 이 중 51명의 계정으로 개인정보가 포함된 웹페이지에 접근해 회원 개인정보를 열람함과 동시에 포인트를 무단 사용하는 등 2차 피해도 야기했다.
이는 케이티알파가 특정 IP 주소에서 대량의 반복적인 로그인 시도 등 비정상적인 접속 시도가 발생할 경우, 이를 탐지하고 차단하기 위한 침입 탐지·차단 정책 관리와 이상행위 대응 체계 운영 등 안전조치의무를 소홀히 했기 때문으로 밝혀졌다.
다만, 해커가 약 9만8000명의 회원 계정으로 로그인에는 성공했으나, 케이티알파가 다수의 웹페이지 내 개인정보 마스킹 조치 등 사전 조치를 했기 때문에 실제로 개인정보가 유출된 규모는 51명에 그친 것으로 확인됐다. 또 조사 과정에서 케이티알파는 개인정보 유출 인지 후 정당한 사유 없이 24시간을 경과해 유출 통지한 사실이 확인됐다.
개인정보위 관계자는 “개인정보처리자는 처리 중인 개인정보가 유출되지 않도록 개인정보처리시스템에 대해 인가받은 자만 접속을 허용하는 등 접근통제 조치가 필수적”이라며 “크리덴셜 스터핑 공격을 예방하기 위해 이상행위에 대한 침입 탐지·차단 정책 적용 등 안전조치도 중요하지만, 개인정보가 포함된 웹페이지에 대한 마스킹 정책 등을 적용하는 것도 개인정보 유출 피해를 줄이는 데 큰 도움이 될 수 있다”고 당부했다.
Copyright ⓒ 이뉴스투데이 무단 전재 및 재배포 금지
본 콘텐츠는 뉴스픽 파트너스에서 공유된 콘텐츠입니다.
