‘업계 1위’ 골프존, 회원 221만 명 개인정보 유출당해
개인정보보호위원회는 8일 제8회 전체회의에서 이러한 내용을 의결했다고 9일 밝혔다.
골프존은 지난 2023년 11월 해커에 의한 랜섬웨어 공격을 받았다. 랜섬웨어는 악성 소프트웨어로 데이터나 PC 등을 암호화한 뒤 이를 푸는 보상을 요구하는 형태의 공격이다.
이에 따라 업무망 내 파일서버에 보관됐던 221만여명의 서비스 이용자와 임직원의 이름, 전화번호, 이메일, 생년월일, 아이디 등 각종 개인정보가 유출됐다. 또한 5831명의 주민등록번호와 1647명의 계좌번호도 외부로 흘러나갔다.
골프존은 코로나19로 재택근무가 급증하던 시기 새로운 가상사설망을 도입하며 외부에서 내부 업무망에 아이디(ID)와 암호만으로 접속할 수 있도록 허용했다. 그러나 개인정보 유출 관련 보안 위협을 검토하지 않았고, 필요한 안전 조치도 취하지 않았다.
이번 조사에서 골프존이 주민등록번호 등을 암호화하지 않은 채 파일서버에 보관하고 있었고, 보유기간을 넘겼거나 처리 목적을 달성해 불필요해진 38만여명의 개인정보를 파기하지 않은 사실이 드러났다.
지난 2023년 11월 사고 발생 당시 골프존은 “랜섬웨어로 인한 서버 디스크 파손으로 골프존 웹, 앱, 점포 운영 사이트 등의 정상 운영에 어려움을 겪고 있다”면서도 “회원 개인정보 유출은 없다”고 밝혔다. 이러한 설명을 두고 골프존이 개인정보 유출을 은폐한 것이 아니냐는 의혹이 나왔다.
골프존 관계자는 “그 당시엔 유출 사실을 몰라 그렇게 발표했던 것”이라며 “해킹 사실을 인지한 후에는 신속하게 개인정보위에 신고하고 고객들에게도 문자메시지로 이 사실을 알렸다”며 숨긴 것이 아니라고 해명했다.
이에 개인정보위는 골프존에 대해 안전조치의무 위반으로 과징금 75억400만원, 개인정보 파기의무 미준수로 과태료 540만원을 부과하기로 결정했다.
이번 처분은 기업의 개인정보 보호 책임성을 강화하기 위해 지난 2023년 9월 시행된 개인정보보호법 개정안이 실질적으로 적용된 첫 사례다.
이전까지는 과징금 상한액을 ‘위법행위와 관련된 매출액의 3%’로 했으나, 개정 이후에는 ‘전체 매출액의 3%’로 조정하되 위반행위와 관련 없는 매출액은 제외토록 했다. 관련 없는 매출액을 증명해야 하는 책임이 기업에게 주어졌기 때문에 결과적으로 과징금 부담이 무거워진 셈이다.
개인정보위에 따르면 과징금이 가장 많이 부과된 단일 기업은 구글로, 지난 2022년 692억원이 부과됐다. 국내 기업으로는 지난 2023년 LG유플러스가 68억원으로 가장 많았으나 이번에 골프존이 이를 경신하게 됐다.
강대현 개인정보위 조사1과장은 “개정법이 적용되며 과징금 부과 대상에 기존 망 사업자뿐만 아니라 오프라인 사업자가 추가됐고, 과징금 상한액도 확대됐다”며 이번 골프존 케이스는 두 가지가 동시에 적용돼 무거운 과징금이 부과됐다고 설명했다.
강 과장은 “랜섬웨어 협박 직후 내부 업무망에 대해 점검을 전혀 하지 않은 것이 사건의 근본적인 원인”이라며 “골프존 회원의 44%에 달하는 220만건의 개인정보에 대한 보호 조치를 하지 않았고, 개인정보가 내부 업무망에 보관된 사실 자체를 인지하지 못했다”고 지적했다.
Copyright © 매경이코노미. 무단전재 및 재배포 금지.
- 아내가 코인으로 26억 벌었다…남편 “집안일은 내 담당” - 매일경제
- 경기북부 ‘제2외곽순환도로’ 거의 다됐다…김포∼파주 구간은 내년 개통 예정 - 매일경제
- 이커머스 화두는 ‘멤버십·배송·셀러’…“옥석 가리기 이어질 듯” - 매일경제
- 정유경의 백화점, 깜짝실적…신세계 “1분기 영업익 1630억” - 매일경제
- “뱃사공 줄이자”…사모펀드들 잇따라 보유 기업 자발적 상폐 - 매일경제
- [속보]고민정, 최고위원직 사퇴...민주당 집단 탈당 움직임도 - 매일경제
- 쪼개기 대출·깜깜이 투자…새마을금고를 어찌할꼬 [스페셜리포트] - 매일경제
- 의정갈등에 병원비·약값도 올랐다...1분기 입원비 6년여 만 최대 상승 - 매일경제
- ‘수능 만점’ 의대생, 여자친구 흉기로 살해...구속영장 신청 - 매일경제
- 격변기 이커머스 앞날은?…“그래도 쿠팡”vs“테·쉬·알 비상” - 매일경제