개인정보위, LG유플러스에 과징금 68억…역대 국내 기업 중 최고액

남석 개인정보보호위원회 조사조정국장이 12일 오후 서울 종로구 정부서울청사에서 개인정보 유출 사고가 발생한 ㈜LGU+에 대해 과징금 68억 원과 과태료 2700만원 부과 의결 등 개인정보위 제12회 전체회의 결과를 브리핑하고 있다. /뉴시스

개인정보보호위원회가 12일 오전 정부서울청사에서 전체회의를 열고 고객 약 30만 명의 개인정보를 유출한 LG유플러스에 68억 원의 과징금과 2700만 원의 과태료를 부과하기로 의결했다. 개인정보위가 국내 기업에 부과한 과징금 중 역대 최고 액수다.

개인정보위와 KISA(한국인터넷진흥원)의 조사에 따르면 지난 1월 해커에 의해 불법거래 사이트에 공개된 개인정보는 총 29만7117건이다. 유출 항목은 성명·휴대전화 번호·주소·생년월일·이메일 주소·아이디·USIM 고유번호 등 총 26개 항목이다.

개인정보위에 따르면, LG유플러스는 조사가 시작된 올해 1월까지 CAS(고객인증시스템)의 서비스 운영 인프라와 보안 환경이 해커 등의 불법침입에 매우 취약한 상황이었다. 조사 결과 LG유플러스가 사용하던 CAS, OS(운영체제) 등 시스템은 기술지원이 종료되는 등 노후한 상태였다. 방화벽이나 IPS(침입방지시스템) 등 기본적인 보안장비도 없었고 수년 전에 업로드된 악성코드가 올해 1월까지 남아있기도 했다.

다량의 개인정보를 관리하면서도 개인정보취급자의 접근권한과 접속기록을 제대로 관리하지 않았다. 대규모 개인정보를 추출·전송한 기록을 남기지 않고 비정상 행위 여부에 대한 점검·확인이 안되는 등 관리 통제도 부실했다는 지적이다.

개인정보위는 개인정보 유출이 발생한 CAS가 LG유플러스의 부가서비스 인증 시스템이라는 점을 근거로 과징금 산정 과정에서 관련 매출액은 전체 매출액이 아닌 부가서비스 분야로 한정했다. LG유플러스도 전체회의에 참석해 이 부분을 적극 소명한 것으로 전해졌다.

개인정보위는 이날 과징금 부과와 함께 LG유플러스에 CPO(개인정보보호책임자)의 역할과 위상 강화, 개인정보보호 조직의 전문성 제고, 개인정보 내부관리계획 재정립, 전반적인 시스템 점검 및 취약요소 개선 등도 주문했다.

LG유플러스 관계자는 "이번 일로 불편을 겪으셨을 고객분들께 다시 한번 고개 숙여 사과의 말씀을 드린다"며 "당사는 지난 2월 1000억 원 규모의 정보보호 투자 계획을 포함한 전사적 차원의 재발방지 대책을 추진하고 있다. 앞으로 고객분들께 신뢰를 드릴 수 있는 보안에 강한 회사로 거듭나겠다"는 입장을 밝혔다.

이정현 기자 goronie@mt.co.kr