사건의 전말 - 해킹보다 더 큰 문제
- 사고 경위
개인정보위원회 조사 결과 회원 DB에 접속 시 일정 횟수 이상 인증 실패 시 접근을 제한하는 조치를 설정하지 않았으며, 주민등록번호와 비밀번호에 안전하지 않은 암호화 알고리즘을 적용하는 등 안전성 확보조치 의무를 위반한 것으로 확인됐습니다.
기본적인 접근 통제조차 갖춰지지 않은 상태에서 해커는 손쉽게 내부 시스템에 침투했고, 전체 정회원의 데이터를 그대로 탈취해 갔습니다.
-
해킹보다 더 충격적인 사실 - 파기했어야 할 정보 30만 건
보안 허점으로 인한 해킹 자체도 심각한 문제입니다. 그러나 이번 사건에서 가장 주목해야 할 부분은 따로 있습니다.
개인정보처리방침에 따라 보유기간 5년이 경과된 정보는 파기해야 하지만 업체측에서는 이를 실행하지 않았습니다.
파기하지 않고 방치한 정회원 정보는 무려 29만 8,566건에 달했습니다.
유출된 전체 정회원 수 43만명 중 약 30만 건은 보유기간이 이미 지나 당연히 파기됐어야 할 정보였습니다.
전체 피해의 약 70%가 파기 의무만 이행했다면 처음부터 데이터베이스에 존재하지 않았을 정보였다는 뜻입니다.
해킹을 막지 못한 것은 보안의 실패입니다. 그러나 파기하지 않은 것은 더 큰 보안의 실패입니다.
이 두 가지 실패가 겹치면서 피해가 걷잡을 수 없이 커졌습니다.
- 사고 이후 대응도 문제
사고 자체도 심각했지만 이후 대응은 더욱 충격적이었습니다.
해당 업체는 해킹을 확인한 뒤 정당한 사유 없이 72시간 가량 신고를 지연했으며, 유출 사실을 정보주체에게 통지하지 않고 있었다는 것도 이번 조사에서 나타났습니다.
43만 명이 자신의 주민등록번호, 연봉, 혼인 이력이 외부로 유출됐다는 사실을 모른 채 일상을 보내고 있었던 것입니다.
최근 가입한 30대 남성 A씨는 "당장 오늘 아침에도 매칭 관련 통화를 했는데 개인정보 유출 안내는 전혀 없었다"며 "가입 당시에도, 이후에도 관련 고지는 없었다"고 말했습니다.
- 처분 결과
개인정보보호위원회는 해당 업체에 과징금 11억 9,700만 원과 과태료 1,320만 원을 부과하고, 유출 회원에게 즉각 유출 사실을 통지하라고 명령했습니다. 또한 보안 강화, 최소 정보 수집 원칙 준수, 명확한 파기 기준 마련 등 전면적인 관리체계 개선도 함께 명령했습니다.
