“개인정보 6만5000여건 유출”… 카카오, 151억 과징금 ‘최대’

개인정보위 “임시ID 암호화 안해”
카카오 “행정 소송 등 적극 검토”

고학수 개인정보보호위원회 위원장이 지난 22일 오후 서울 종로구 정부서울청사에서 열린 2024년 제9회 개인정보보호위원회 전체회의에서 모두발언하고 있다. 개인정보보호위원회 제공

개인정보보호위원회가 카카오에 국내 기업으로는 역대 최대 액수인 151억원의 과징금을 부과했다고 23일 밝혔다. 오픈채팅방 등을 통해 최소 6만5000여건의 개인 정보가 유출됐으나, 카카오가 개선 조치를 하지 않았다고 본 것이다. 카카오는 “행정 소송을 포함한 다양한 조치 및 대응을 적극적으로 검토할 예정”이라고 반발했다.

개인정보위는 전날 제9회 전체회의를 열어 카카오에 151억4196만원의 과징금과 780만원의 과태료를 부과하고, 시정명령과 처분결과를 공표하기로 의결했다. 이는 지난해 3월 카카오톡 오픈채팅 이용자의 개인정보가 불법 거래되고 있다는 의혹에 대해 개인정보위가 개인정보보호법 위반 여부 등을 조사한 결과다.

개인정보위에 따르면 카카오는 익명 채팅을 표방한 오픈채팅을 운영하면서 참가자를 구분하기 위한 임시 ID를 생성했으나 이를 암호화하지 않았다. 2020년 8월부터는 임시 ID를 암호화했지만, 기존에 개설됐던 일부 오픈채팅방에는 암호화가 적용되지 않는 등 혼선이 발생했다. 외부에서는 이 같은 취약점을 이용해 암호화 여부에 상관없이 모든 오픈채팅방의 임시 ID를 파악할 수 있었던 것으로 조사됐다.

문제는 이 임시 ID에 일반 개인 채팅에 사용되는 회원 일련번호가 포함돼 있었다는 것이다. 개인 정보 판매업자들은 오픈채팅방에서 회원 일련번호를 추출한 뒤 이를 기존에 확보해둔 회원 데이터베이스와 결합해 카카오톡 회원의 개인정보를 특정할 수 있었던 것으로 나타났다. 개인정보위는 최소 6만5719건의 개인정보가 유출됐다고 판단하고 있다.

남석 개인정보위 조사조정국장은 브리핑을 통해 “카카오는 조사 과정에서 오픈채팅방 이용자의 개인정보가 유출되고 있다는 사실을 인지했음에도 유출 신고와 이용자 대상 유출 통지를 하지 않았던 것으로 조사됐다”고 말했다.

카카오는 입장문을 통해 “회원 일련번호는 관련법상 암호화 대상이 아니므로 이를 암호화하지 않은 것은 법 위반으로 볼 수 없다”며 “행정 소송 등 대응을 적극 검토할 예정”이라고 밝혔다.

문동성 기자 theMoon@kmib.co.kr

GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재 및 수집, 재배포 및 AI학습 이용 금지