LG유플러스는 대리점 시스템의 개인정보 안전조치 모의테스트 수행과정에서 가상 파일이 아닌 실제 개인정보파일을 사용했고, 해당 파일을 암호화하지 않고 네트워크 폴더에 공유해 테스트에 참여하지 않은 대리점도 접근할 수 있게 했다. 개인정보위는 개인정보가 실제로 유출되진 않았으나 그 위험성을 방치한 행위에 대해서도 안전조치 위반으로 판단, 1200만원의 과태료 처분을 내렸다.
쿠팡에 대해서는 2건이 접수됐다. 쿠팡 앱을 업데이트하는 과정에서 안전조치의무를 소홀히 해 14명의 개인정보가 유출됐다. 또한 쿠팡이츠 스토어에 회원가입이 완료되지 않았거나 서비스 이용 중지를 요청한 음식점주의 개인정보를 파기하지 않고 문자메시지를 발송했다. 각각 720만원과 840만원의 과태료가 부과됐다.
피알컴퍼니는 신원미상 공격자의 SQL주입 공격에 의해 이 회사가 운영하는 문자발송 서비스 이용자 48명의 계정정보가 탈취되고 대량의 스팸문자가 발송됐다. 개인정보위는 피알컴퍼니가 침입차단·탐지시스템 설치·운영, 비밀번호 암호화, 접속기록 보관 등 안전조치의무와 유출 통지·신고의무를 위반했다고 판단했다. 840만원의 과태료 처분을 받았다.
SSG닷컴은 잘못 부착한 택배 송장을 제거하지 않고 새로운 송장을 덧붙여 발송, 이를 수령한 고객이 타인의 개인정보(1명)를 열람했다. 개인정보위는 잘못 부착한 택배 송장을 파기하지 않고 다른 수취인의 개인정보가 노출되게 한 행위에 대해 파기 의무 위반으로 처분했다. 360만원의 과태료 처분을 받았다.
KT는 테스트 계정으로 로그인한 상태의 URL(인터넷주소)를 담당자 실수로 고객들에게 발송해 개인정보(1명)가 유출됐다. 개인정보위는 KT가 안전조치의무를 위반했다고 판단했다. 300만원의 과태료 처분을 받았다.
이밖에 네오게임즈와 리치몬트코리아는 소소코드 설정 오류 등 관리자의 보안조치 소홀로 각각 36명과 1명의 개인정보가 유출됐다. 난다는 개인정보가 기재된 페이지의 읽기 권한을 '관리자'가 아닌 '비회원 이상'으로 설정하는 등 안전조치의무 소홀로 개인정보(30명)가 유출됐다. 데이원컴퍼니는 배송정보가 포함된 엑셀 파일을 잘못 편집해 개인정보(82명)가 타인에게 전달됐다. 그레잇모바일은 개인정보 처리에 대해 동의를 받을 때 각각의 동의사항을 구분하지 않고 개인정보 수집 목적 등을 명확히 알리지 않았다.
이번 조사에서 휴대폰 판매점·대리점 9곳도 정산 완료 등 수집 목적을 달성한 뒤에도 수집한 개인정보를 파기하지 않고 보관한 것으로 밝혀졌다. 이 가운데 8곳은 개인정보파일을 암호화하지 않거나 외부망에서 접근할 때 안전한 인증수단을 적용하지 않는 등 개인정보파일 관리과정에서 안전조치를 소홀히 한 사실이 확인됐다. 모두 시정명령을 받으면서 판매점·대리점 4곳엔 각각 과태료 600만~900만원도 부과됐다.
진성철 개인정보위 조사2과장은 "최근 해커가 대량의 스팸문자 발송을 위해 문자발송 서비스를 제공하는 웹사이트를 공격하는 사례가 종종 발생하고 있다"며 "해커의 표적이 될 수 있는 문자발송 서비스를 운영하는 사업자는 사고 예방을 위해 상시적인 웹사이트 취약점 점검, 이용자 로그인 시 추가인증수단 도입 등 적극적 보호조치를 취할 필요가 있다"고 말했다.
팽동현기자 dhp@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
