개보위 1만7000여명 개인정보 유출 적발
두 차례 해킹에도 보안 조치 미흡·신고 지연
두 차례 해킹에도 보안 조치 미흡·신고 지연
개보위는 섹타나인의 개인정보 보호법 위반을 확인하고 사업자 홈페이지에 해당 사실을 공표하도록 명령한 데 이어 과징금 14억7700만원과 과태료 720만원을 부과했다고 13일 밝혔다.
이번 처분은 섹타나인이 고객정보 보호 조치를 소홀히 한 가운데 두 차례의 해킹 공격으로 총 1만7000여명의 개인정보가 유출된 데 따른 것이다. 섹타나인은 파리바게뜨·베스킨라빈스 등 23개 브랜드에서 사용할 수 있는 해피포인트 멤버십 서비스를 운영하는 SPC 그룹 계열사다.
개보위에 따르면 지난 2022년 10월 해커가 '크리덴셜 스터핑(Credential Stuffing)' 방식으로 해피포인트 앱에 로그인한 뒤 API 응답값을 통해 7000명 넘는 이용자의 개인정보를 탈취했다. 이후 일부 고객의 해피포인트가 무단 사용되는 피해가 발생했으나 섹타나인은 충분한 보안 조치를 마련하지 않았다. 이로 인해 지난해 10월 말 같은 방식의 해킹이 다시 발생해 9000여명의 개인정보가 추가로 유출됐다.
개보위는 대량 로그인 시도를 탐지·차단하는 조치가 없었던 점과 API 응답 값에 포함된 개인정보를 암호화하지 않은 점 등을 문제로 지적했다. 특히 지난해 사고의 경우 개인정보 유출 사실을 인지한 뒤에도 법에서 정한 72시간 내 신고 의무를 이행하지 않아 추가적인 법 위반이 인정됐다.
개보위 관계자는 "개인정보를 처리하는 사업자의 경우 운영 중인 시스템에 대한 안전조치를 철저히 해야 한다"며 "사고가 이미 발생한 경우에는 재발 방지 대책을 면밀히 수립하여 유출 사고가 재발하지 않도록 각별한 노력을 기울여야 한다"고 당부했다.
유진아기자 gnyu4@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
