총 99만584건 개인정보 해커가 탈취
위드이노, 사태수습에 소극적인 대응
구체적인 보상책 마련에도 '지지부진'
위드이노, 사태수습에 소극적인 대응
구체적인 보상책 마련에도 '지지부진'
'여기어때' 개인정보 유출사고 조사결과 발표
지난달 24일 개인의 숙박투숙 정보 등 민감한 개인정보 유출로 세간의 주목을 끌었던 숙박 O2O(온·오프라인 연계) 서비스 업체 여기어때를 운영하는 위드이노베이션이 사태 발생 한 달이 넘었는데도 적절한 보상책 등 대응이 부진해 비판의 도마에 올랐다.
국내 O2O 업계에서 발생한 첫 개인정보 유출 사건인 데다, 지난해 시행된 '징벌적 손해배상제도'가 적용되는 첫 사례여서 시선이 쏠리고 있다. 이용자 불만이 수그러들지 않아 앞으로 집단 손해배상 소송 등 법적 사건으로 비화할 조짐을 보이고 있다.
26일 방송통신위원회와 미래창조과학부, 한국인터넷진흥원(KISA) 등이 포함된 민·관 합동조사단은 지난달 7일부터 17일까지 발생한 여기어때 개인정보 유출 침해사고 조사 결과를 발표했다. 발표에 따르면 해커는 개인정보(중복 제외) 총 99만584건을 탈취한 것으로 드러났다.
조사단에 따르면 해커는 SQL인젝션 방식으로 '여기어때 마케팅센터 웹페이지'의 관리자 세션 값을 탈취한 뒤 예약정보와 제휴점 정보, 회원정보를 유출했다. SQL인젝션 방식은 가장 흔한 취약점이기 때문에 인터넷 홈페이지 제작시 항상 고려해야 할 조치사항이라는 게 KISA 측 설명이다. 위드이노베이션과 같은 민감 정보를 다루는 곳은 특히 악용될 가능성이 크기 때문에 유의해야 한다고 KISA 측은 덧붙였다.
실제 이번 해킹사태로 정보를 탈취당한 이용자들은 "XX님 X월X일 XX에서 황홀한 X하셨나요" 등 불쾌함을 유발하는 문자를 받는 등 탈취된 전화번호, 이메일 주소를 활용한 2차 피해가 우려되는 상황이다.
지난달 개인정보 유출 사실이 처음 알려졌을 당시 회사는 적극적으로 유출 사실을 알리고, 사태수습에 최선을 다한다고 공지한 것과 달리 소극적인 대응을 보이고 있어 비판의 목소리가 높다. 구글 플레이스토어의 앱 리뷰에는 '유출 사태에 딸랑 사과문 하나가 전부이고 대처가 안일하네요. 굉장히 기분 나쁩니다', '이번 해킹 이후 아이핀 인증요청 신용정보 변경 알림 등이 오고 있는데, 어떻게 책임질 거냐', '고객센터 전화연결도 안 되는데 피해 사실을 어떻게 신고하냐' 등의 불만이 폭주하고 있다.
보상책 마련에도 지지부진한 모습이다. 사건발생 일주일 후인 지난달 30일 회사 심명섭 대표는 앱과 웹사이트에 공지를 올리고 중간수사 결과를 공개, 절차에 따라 신속하게 피해보상 할 수 있는 방안을 마련하겠다고 밝혔다. 그러나 한 달이 넘은 지금까지 최종 조사 결과를 기다리느라 구체적 보상책은 마련하지 못했다고 회사측은 밝혔다.
이에 따라 앞으로 회사를 상대로 한 손해배상 줄소송 가능성이 나오고 있다. 이번 유출사태는 작년 7월 도입된 징벌적 손해배상제도가 적용되는 첫 사례다. 개인정보처리자의 고의 또는 중대한 과실로 개인정보가 유출될 때 법원은 손해액의 3배가 넘지 않는 범위 내에서 손해배상을 정할 수 있다. 피해자가 실제 피해사실을 입증하지 않아도 300만원 이하로 손해액을 인정하는 '법정 손해배상제도'도 적용되는 첫 사례여서 소송 가능성이 높아졌다는 게 관련 업계의 설명이다. 앞서 사건 발생 직후엔 피해자를 위한 포털사이트 카페도 개설됐다.
업계 관계자는 "마케팅 비용으로 수백억원을 쓰는 대신 조금이라도 보안에 신경을 썼다면 이런 사태는 벌어지지 않았을 것"이라며 "늦었지만 지금이라도 서둘러 이용자에 공개 사과하고, 피해 대책을 내놔야 할 것"이라고 말했다.
진현진기자 2jinhj@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
