'연매출 1.5%' 역대 최대 규모
웹사이트 보안취약 해킹 노출
ICO, 이의제기 거쳐 벌금 확정
국내 IT기업도 기준강화에 긴장
웹사이트 보안취약 해킹 노출
ICO, 이의제기 거쳐 벌금 확정
국내 IT기업도 기준강화에 긴장
브리티시항공 홈페이지
'유럽판 개인정보보보호법'으로 불리는 EU(유럽연합) GDPR(개인정보보호규정)이 본격 시행되면서, 법 위반 기업에 대한 벌금폭탄이 현실화되고 있다. 영국 정보당국이 허술한 보안시스템 때문에 지난해 50만명의 고객정보가 유출된 브리티시항공에 대해 2억3000만 달러(약 2700억원)에 달하는 벌금을 부과했다. 브리티시항공 2017년 연매출의 1.5%에 달하는 금액으로, GDPR 위반에 따른 역대 최대 규모의 벌금이다.
9일 BBC, 블룸버그 등 주요 외신들은 영국 정부의 역대 최대 규모의 GDPR 벌금 부과결정을 잇따라 보도하면서, 정보보안 수준이 개별 기업의 존망을 좌우하는 시대가 왔다고 전했다.
브리티시항공은 지난해 9월 6일, 고객의 항공권 예약정보와 금융정보가 유출되는 대형 보안사고가 발생했다고 발표했다. 당시 알렉스 크루즈 브리티시항공 CEO는 BBC 방송에 출연해 "약 38만 건의 예약 관련 개인정보와 금융정보가 유출됐다"면서 "정보 유출은 8월 21일에서 9월 5일 사이에 발생했지만 최근에야 유출 사실을 파악했다"고 밝혔다. 그러면서 "무언가 문제가 있다는 사실은 알아냈지만 5일 저녁에야 일의 심각성을 파악했다. 이후 구체적인 공격의 범위를 확인하는 중"이라고 말했다. 브리티시항공은 6일 해당 고객들에 정보유출 사실을 알렸고, 유럽의 데이터보호기관(IC)이 경보를 발령했다. 전자상거래 사이트를 전문적으로 공격하는 집단인 메이지카트가 허술한 시스템의 빈틈을 노려 개인정보를 불법적으로 빼간 것으로 확인됐다.
영국 ICO(정보위원회) 조사 결과, 브리티시항공 웹사이트가 취약한 보안구조 때문에 해킹에 노출됐으며, 그 결과 웹사이트에 접속한 고객 중 일부는 가짜 사기사이트로 연결된 것으로 나타났다. 이를 통해 당초 알려진 것보다 많은 50만명의 정보가 유출됐다는 사실이 밝혀졌다.
영국 당국이 브리티시항공에 부과한 2억3000만 달러의 벌금 규모는 지난해 5월 EU GDPR가 시행된 이후 역대 최대 규모의 과징금이다. GDPR은 개인정보보호 관련한 규제중에 가장 강력한 조치로 꼽힌다. EU는 개인정보 암호화 등 적절한 데이터 보안조치를 취하지 않은 기업에 대해 연 매출의 4%까지 벌금을 부과하는 강력한 규정을 도입했다. 특히 EU에서 GDPR이 시행된 이후, 세계 각국에서 경쟁적으로 개인정보보호 규정을 강화하고 있다.
브리티시항공의 벌금 규모는 2017년 글로벌 매출의 1.5%에 달한다. ICO는 브리티시항공에 28일간의 이의제기 기간을 준 후 벌금을 확정할 예정이다.
브리티시항공은 벌금 외에도 데이터 복구, 보안시스템 보완, 고객 손해배상 등에 막대한 비용을 지불해야 할 전망이다.
알렉스 크루즈 브리티시항공 CEO는 이번 결정에 대해 "매우 놀랍고 실망했다"면서 "우리는 사이버 범죄자들의 악의적인 행위에 맞서 빠르게 대응했고, 당시 도난당한 개인정보가 추가 범죄나 사기 행위에 남용되고 있다는 어떤 증거도 현재까지 찾지 못했다"고 주장했다. 그러나 GDPR 판결은 추가 피해 여부와 상관 없이 내려지는 만큼 ICO의 결정에 영향을 주지는 못할 것으로 보인다.
유럽에 진출한 글로벌 기업들은 GDPR의 강력한 규제기준과 처벌수위에 촉각을 곤두세우고 있다.
삼성, SK, LG, 현대차 등 국내 대기업은 물론 네이버, 카카오 등 국내 IT 기업들도 GDPR 기준 강화에 긴장하고 있다. 이미 프랑스의 GDPR 감독기구인 CNIL이 구글에 5600만 달러(약 660억원)의 벌금을 부과한 바 있고, 페이스북도 케임브리지애널리티카(CA) 파문과 관련해 50만 파운드(약 7억4000만원)의 벌금을 내야 한다. 보안 전문가들은 벌금폭탄이 이미 예견된 일이라는 반응이다. 보안에 허술한 기업은 언제든 비슷한 일을 겪을 수 있다고 지적했다.
AMT트러스트유럽의 보안 책임자 이안 손튼 트럼프는 "GDPR의 막대한 비용이 현실로 드러났다"면서 "유럽에서 사업을 하고 있는 모든 기업에 GDPR 충격이 고통스럽게 다가갈 것"이라고 경고했다. 이어 "이번 결정은 개인정보를 다루는 모든 기업들에 경종을 울리는 사건이 될 것"이라고 강조했다.
ITC시큐어의 보안전문가 말콤 테일러는 "어디가 되든 GDPR 규정 위반으로 처음 걸리는 대기업은 엄청난 벌금을 낼 것이란 전망이 제기돼 왔는데 그 첫 사례가 브리티시항공이 될 것 같다"면서 "가공할 만한 GDPR 벌금의 실체가 드러난 것"이라고 말했다.
보안업체 사이버리즌의 전문가 샘 커리는 시큐리티위크와의 인터뷰에서 "기업이 좋은 물건을 내놓고 잘 팔아서만 되는 때는 끝났다"면서 "프라이버시 보호 DNA를 갖춰야 기업이 생존할 수 있는 시대가 됐다"고 밝혔다.
안경애기자 naturean@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
