고학수 개인정보보호위원회 위원장이 4일 서울 종로구 정부서울청사에서 개최된 전체회의에서 의사봉을 두드리고 있다. 사진 제공=개인정보위사업자가 취해야 할 안전조치를 다하지 못해 개인정보 유출을 초래한 2개 사업자에 대해 개인정보보호위원회가 과징금·과태료를 부과했다.
개인정보위는 4일 전체회의를 열고 개인정보보호법 위반 혐의를 받는 월급쟁이부자들과 박차컴퍼니에 대해 총 6069만 원의 과징금과 1080만 원의 과태료를 부과하기로 의결했다고 5일 밝혔다. 월급쟁이부자들은 과징금 5110만 원·과태료 270만 원, 박차컴퍼니는 과징금 959만 원과 과태료 810만 원이다.
재테크 관련 동영상 교육 서비스를 제공하는 월급쟁이부자들은 홈페이지 해킹 공격으로 데이터베이스(DB)에 저장된 회원 10만 7518명의 개인정보가 유출됐다. 조사 결과 월급쟁이부자들은 중간서버를 통해서만 DB에 접속할 수 있게 시스템을 운영하면서 방화벽 등 보호수단을 제대로 갖추지 않았다. 외부에서 DB에 접속할 때 추가적 인증수단 없이 아이디·비밀번호로만 접속이 가능했고 심지어 관리자 계정의 비밀번호도 설정하지 않은 것으로 확인됐다.
중고 렌터카 매매 중개플랫폼인 박차컴퍼니는 해커로부터 웹사이트 취약점을 이용한 에스큐엘(SQL) 삽입 공격을 받아 회원 4004명의 개인정보가 유출됐다. 유출된 정보에는 회원의 장애등급 등 민감정보도 있었다. 개인정보위 조사 결과 박차컴퍼니는 방화벽 등 보안장치를 설치하지 않았고 SQL 공격을 예방하기 위한 입력값 검증 절차도 구현하지 않았다. 보유기간이 경과한 개인정보를 파기하지 않고 개인 소유의 계좌번호를 암호화하지 않고 저장한 사실도 드러났다. 개인정보 유출 사실에 대한 통지도 늦었다.
개인정보위는 “개인정보를 처리하는 사업자는 유출 사고가 발생하지 않도록 안전조치와 관련된 의무 사항을 상시 점검해야 하며 불필요한 개인정보는 즉시 파기하고 특히 민감정보 등은 처리 과정에서 각별한 주의가 필요하다”고 당부했다.
