"120만 정보 유출"…개인정보위, 안전조치 위반 3개 사업자 제재

(사진=개인정보보호위원회)

[이데일리 김가은 기자] 개인정보보호위원회는 제17회 전체회의를 열고, 개인정보보호 법규를 위반한 자동차공임나라, 오브콜스, 와이엘랜드 등 3개 사업자에 대해 과징금 총 1억9719만원과 과태료 2730만원 부과를 의결했다고 26일 밝혔다.

자동차공임나라와 오브콜스는 악성코드(웹셸) 파일 공격을 예방하기 위한 최신 보안 프로그램 미적용, 데이터베이스(DB)에 대한 접근권한 미통제, 이용자 비밀번호를 안전하지 않은 방법으로 일방향 암호화하는 등 안전조치의무를 소홀히 했다. 이로 인해 자동차공임나라는 72만8680명, 오브콜스는 24만1241명에 달하는 개인정보를 탈취당했다.

두 사업자 모두 개인정보 유출 통지를 지연한 사실도 확인됐다. 자동차공임나라의 경우 탈퇴 회원 개인정보도 파기하지 않은 것으로 나타났다.

와이엘랜드는 관리자페이지에 접속하는 과정에서 2차 인증과 아이피(IP) 주소 제한 등 조치 없이 아이디(ID)와 비밀번호만으로 접근이 가능하도록 운영해 해킹으로 이용자 개인정보 22만9600건이 탈취됐다. 뿐만 아니라, 개인정보 유출 통지를 지연한 사실과 보유 목적이 종료된 이용자 개인정보를 파기하지 않은 사실도 확인했다.

개인정보위 관계자는 “이번 유출 사고에서 주요 원인이 된 웹셸 파일 공격의 경우, 해킹 피해를 입은 대부분의 서버에서 발견될 정도로 잘 알려진 웹 취약점 공격이므로 각별한 주의와 예방이 필요하다”며 “관리자페이지에 대해서는 2차 인증, 접속 아이피(IP) 주소 제한 등 접근 권한·통제를 강화해 외부 공격에 의한 유출 사고 예방에 노력을 기울여야 할 것”이라고 했다.