개인정보위, 클래스유·KT알파에 과징금·과태료 부과

클릭하시면 더 큰이미지를 보실 수 있습니다

해킹으로 개인정보 유출 사고 발생한 2개 사업자 제재


개인정보 보호 법규를 위반해 개인정보 유출 사고가 발생한 2개 사업자가 당국으로부터 과징금·과태료를 부과받았다.

개인정보보호위원회는 9일 제8회 전체회의를 열고 온라인 강의 서비스를 운영하는 ‘클래스유’, 홈쇼핑·모바일 상품권 판매 등 서비스를 운영하는 ‘케이티알파’에 총 과징금 5851만 원과 과태료 1410만 원 및 시정·공표명령 등을 의결했다고 10일 밝혔다.

과징금 5360만 원과 과태료 720만 원 및 시정명령, 공표명령을 부과받은 클래스유는 지난 2023년 8월 1일부터 2024년 7월 25일까지 신원 미상의 해커로부터 해킹 공격을 당했다. 해커는 알 수 없는 방법으로 데이터베이스(DB) 관리자 계정을 획득해 이용자 약 160만 명의 개인정보를 유출했는데, 개인정보위는 클래스유의 개인정보 취급자가 DB 접속정보 등 파일을 개발자 플랫폼에 공개 설정으로 저장·운영한 과정에서 유출된 것으로 추정했다.

개인정보위 조사 결과 클래스유는 다수의 안전조치 의무를 위반한 것으로 밝혀졌다. DB에 접근권한을 제한하지 않고, 여러 개인정보 취급자가 정당한 사유 없이 하나의 관리자 계정을 공유하고 있었다. 또 이용자의 주민등록번호와 계좌번호를 암호화하지 않고 저장한 사실도 확인됐다.

아울러 이용자의 신분증 사본을 수집한 경우 처리 목적을 달성한 후에는 파기해야 하나 이를 지키지 않았고, 개인정보 유출 인지 후 정당한 사유 없이 유출 통지를 72시간 넘게 지연한 사실도 확인됐다. 다만, 클래스유의 재무상황 등 현실적 부담 능력을 고려해 과징금 부과액에 감경 규정을 적용했다고 개인정보위는 설명했다.

한편 케이티알파의 경우 운영 중인 기프티쇼(모바일 상품권 판매) 웹사이트가 해킹 2023년 1월 28일부터 2월 6일까지 해킹 공격을 받았다. 해커는 사전에 확보한 다수의 아이디, 비밀번호 정보를 무차별 대입해 접속을 시도하는 방식으로 기프티쇼 회원의 개인정보를 유출했는데, 총 540만 번 이상의 로그인 시도 끝에 약 9만8000명의 계정으로 로그인에 성공했다. 해커는 이 중 51명의 계정으로 개인정보가 포함된 웹페이지에 접근해 회원 개인정보를 열람하거나 포인트를 무단 사용한 것으로 드러났다.

케이티알파는 특정 IP주소에서 대량의 반복적인 로그인 시도 등 비정상적인 접속 시도가 발생할 경우 이를 탐지·차단하는 침입 방지 정책 등을 마련했어야 하나, 이 같은 안전조치 의무를 다하지 않은 것으로 밝혀졌다. 아울러 케이티알파 역시 개인정보 유출 인지 후 유출 통지를 지연한 사실이 확인됐다. 다만 케이티알파가 다수의 웹페이지 내에 있는 개인정보를 가리는 등 사전 조치를 했기 때문에 실제 유출 규모는 51명에 그친 것으로 확인됐다. 이에 개인정보위는 케이티알파에 과징금 491만 원과 과태료 690만 원을 부과하고, 이런 사실을 개인정보위 홈페이지에 공표하기로 했다.

구혁 기자