개인정보 유출, 해커 협박 후에야 알았다…락앤락 등 3곳, 개보위 과징금 7억 '철퇴'

접근통제·인증수단 미흡으로 개인정보 유출

개보위, 처분 사실 홈페이지 공표 명령

해당 이미지는 AI로 제작됨.

개인정보 보호 안전조치를 소홀히 한 락앤락, 유베이스, 썬포토가 개인정보보호위원회 제재를 받았다. 세 회사에는 총 7억100만원의 과징금과 540만원의 과태료가 부과됐다.

개인정보위는 지난 8일 제13회 전체회의를 열고 개인정보 보호 법규를 위반한 3개 사업자에 대한 제재안을 의결했다. 개인정보위는 이들 사업자가 개인정보처리시스템 접근통제와 인증수단 관리 등 기본 안전조치를 제대로 하지 않아 개인정보 유출 사고가 발생했다고 판단했다.

밀폐용기 업체 락앤락에는 과징금 5억300만원과 과태료 540만원이 부과됐다. 해커는 2024년 4월 메일 서버 취약점을 이용해 내부 시스템에 침입한 뒤 같은 해 5월 회원 데이터베이스를 유출했다. 같은 해 11월에는 내부 시스템에 다시 침입해 파일서버 업무자료 등을 빼냈다. 이 과정에서 약 130만명의 이름, 휴대전화번호, 주소 등 개인정보와 임직원 개인정보 1111건이 유출됐다.

조사 결과 락앤락은 대용량 비정상 트래픽을 탐지하지 못해 해커 협박메일을 받은 뒤에야 유출 사실을 인지했다. 2022년 공개된 보안 취약점을 업데이트하지 않았고, 주요 서버 관리자 계정에 같은 비밀번호를 적용했다. 고유식별정보 암호화와 불필요한 개인정보 파기 의무도 지키지 않은 것으로 확인됐다.

기업 대상 콜센터 아웃소싱 업체 유베이스에는 과징금 1억6800만원이 부과됐다. 해커는 2024년 4월 유베이스 대표 홈페이지 관리자 계정으로 접속해 문의게시판 이용자 1852명의 개인정보를 유출하고 텔레그램에 게시했다. 유베이스는 외부 관리자 페이지 접속을 IP 주소 등으로 제한하지 않았다. 추가 인증수단 또한 없었다. 아이디와 비밀번호만으로 접속할 수 있게 운영했다.

사진·영상장비 업체 썬포토에는 과징금 3000만원이 부과됐다. 해커는 2024년 8월 썬포토 웹사이트 관리자 계정으로 접속해 회원 약 17만명의 개인정보와 주문정보 13건을 유출했다. 유출 이후 주문자 1명에게 썬포토 직원을 사칭한 보이스피싱 시도도 있었던 것으로 조사됐다.

개인정보위는 세 회사 모두 처분 사실을 자사 홈페이지에 공표하도록 명령했다. 더불어 개인정보처리시스템을 운영하는 사업자에게 외부 접속 권한을 IP 주소 등으로 제한하고, 외부 접속이 필요한 경우 아이디와 비밀번호 외 추가 인증수단을 적용해야 한다고 당부했다.