'업계 1위' 골프존, 221만 명 정보 유출…과징금 75억

골프존이 221만여 명의 개인 정보가 유출된 데 대해 국내 업체 중 역대 최대 과징금인 75억여 원을 물게 됐습니다.

개인정보보호위원회는 제8회 전체회의에서 골프존에 대한 과징금을 의결했습니다.

실내 스크린골프연습장 분야 업계 1위이자 스크린골프 전문 방송 등을 운영하는 골프존은 지난해 11월 해커로부터 랜섬웨어 공격을 받았습니다.

랜섬웨어는 악성 소프트웨어로 데이터나 PC 등을 암호화한 뒤 보상을 요구하는 형태의 공격입니다.

이 과정에서 해커는 골프존 직원들의 가상사설망 계정 정보를 탈취해 업무망 내 파일 서버에 원격 접속한 뒤 이곳에 저장된 파일을 외부로 유출했습니다.

유출한 정보는 다크웹에 공개됐습니다.

골프존 업무망 내 파일 서버에 보관됐던 221만여 명의 서비스 이용자와 임직원의 이름, 전화번호, 이메일, 생년월일, 아이디 등 각종 개인정보가 유출됐습니다.

또 5,831명의 주민등록번호와 1,647명의 계좌번호도 흘러 나갔습니다.

개인정보위에 따르면 골프존은 전 직원이 사용하는 파일 서버에 주민등록번호를 포함한 다량의 개인 정보가 저장돼 공유된다는 사실을 인지하지 못했을뿐더러, 파일 서버에 대한 주기적인 점검을 소홀히 했던 것으로 드러났습니다.

골프존은 코로나19로 재택근무가 급증하던 시기에 새로운 가상사설망을 도입하면서 외부에서 내부 업무망에 아이디와 암호만으로 접속할 수 있도록 허용했습니다.

하지만 업무망 안에 존재하는 파일 서버에 대해 개인정보 유출 관련 보안 위협을 검토하지 않았고, 필요한 안전조치도 하지 않았습니다.

골프존이 주민등록번호 등을 암호화하지 않은 채 파일 서버에 보관하고 있었고, 보유 기간을 넘기거나 처리 목적을 달성해 불필요해진 38만여 명의 개인 정보를 파기하지 않은 사실도 드러났습니다.

지난해 11월 사고 발생 당시 골프존은 "랜섬웨어로 인한 서버 디스크 파손으로 골프존 웹, 앱, 점포 운영 사이트 등의 정상 운영에 어려움을 겪고 있다"면서도 "회원 개인정보 유출은 없다"고 밝힌 바 있습니다.

골프존 관계자는 "그 당시엔 유출 사실을 몰라서 그렇게 발표했던 것"이라며 "해킹 사실을 인지한 후에는 신속하게 개인정보위에 신고하고, 고객들에게도 문자메시지로 이 사실을 알렸다"고 설명했습니다.

개인정보위는 골프존에 대해 안전조치의무 위반으로 과징금 75억 400만 원을, 개인정보 파기의무 미준수로 과태료 540만 원을 부과하기로 결정했습니다.

아울러 회사의 개인정보 관리 계획 수립, 개인정보가 유출되지 않도록 하기 위한 조치 강화, 개인정보보호 책임자의 위상과 역할 강화 등을 명령했습니다.

이번 처분은 기업의 개인정보 보호 책임성을 강화하기 위해 지난해 9월 시행된 개인정보보호법 개정안이 실질적으로 적용된 첫 사례입니다.

개인정보위에 따르면 과징금이 가장 많이 부과된 단일 기업은 구글로, 2022년 692억 원이었으며, 국내 기업으로는 지난해 LG유플러스가 68억 원을 부과받았었습니다.

(사진=연합뉴스TV 제공, 연합뉴스)

김지성 기자 jisung@sbs.co.kr

SBS