개인정보위, 안전조치 의무 위반 3개 사업자 제재

악성코드 공격 예방 위한 주기적 보안점검, 파일 실행권한 제한

[아이뉴스24 박진영 기자] 개인정보보호위원회는 25일 제17회 전체회의를 열고, 개인정보보호 법규를 위반한 3개 사업자에 대해 총 1억 9719만 원의 과징금과 2730만 원의 과태료를 부과하기로 의결했다.

고학수 개인정보보호위원회 위원장이 지난 25일 오후 서울 종로구 정부서울청사에서 제17회 개인정보보호위원회 전체회의 개회를 알리며 의사봉을 두드리고 있다. [사진=개인정보보호위원회 ]

이번에 제재를 받은 자동차공임나라와 오브콜스은 △웹셸(악성코드) 파일 공격을 예방하기 위한 최신 보안 프로그램 미적용 △데이터베이스(DB)에 대한 접근권한 미통제 △이용자의 비밀번호를 안전하지 않은 방법으로 일방향 암호화하는 등 안전조치의무를 소홀히 했다.

이로 인해 자동차공임나라는 72만 8680명, 오브콜스는 24만 1241명의 이용자 개인정보가 해킹으로 탈취된 사실을 확인했다. 두 사업자 모두 개인정보 유출 통지를 지연했고, 자동차공임나라의 경우 탈퇴한 회원의 개인정보를 파기하지 않은 사실도 확인했다.

와이엘랜드는 인터넷망에서 관리자페이지에 접속하는 과정에서 2차 인증 및 아이피(IP) 주소 제한 등 조치 없이 아이디(ID)와 비밀번호만으로 접근이 가능하도록 운영해 해킹으로 이용자 개인정보(22만 9600명)가 탈취됐다. 또 개인정보 유출 통지를 지연한 사실과 보유 목적이 종료된 이용자의 개인정보를 파기하지 않은 사실을 확인했다.

개인정보위는 "이번 유출 사고에서 주요 원인이 된 웹셸 파일 공격의 경우, 해킹 피해를 입은 대부분의 서버에서 웹셸 파일이 발견될 정도로 잘 알려진 웹 취약점 공격이기 때문에 이에 대한 각별한 주의·예방이 필요하다"고 당부했다.

/박진영 기자(sunlight@inews24.com)