UPDATED. 2022-10-04 08:41 (화)
개인정보 유출 사실 '쉬쉬'하다 적발
개인정보 유출 사실 '쉬쉬'하다 적발
  • 박광하 기자
  • 승인 2022.03.24 15:51
  • 댓글 0
이 기사를 공유합니다

개인정보보호위원회
개인정보 유출 16개 사업자 제재

안전조치 소홀에 따른 해킹
업무상 실수 등으로 유출 발생
개인정보위는 최근 제5회 전체회의를 개최하고, 개인정보가 유출된 16개 사업자의 개인정보보호 법규 위반에 대해 과징금·과태료 부과 처분을 의결했다. [사진=개인정보위]
개인정보위는 최근 제5회 전체회의를 개최하고, 개인정보가 유출된 16개 사업자의 개인정보보호 법규 위반에 대해 과징금·과태료 부과 처분을 의결했다. [사진=개인정보위]

[정보통신신문=박광하기자]

전산상 외부침입(해킹) 또는 업무 담당자의 실수로 개인정보가 유출된 총 16개 사업자에 과징금이나 과태료 처분이 내려졌다.

개인정보보호위원회(위원장 윤종인)는 최근 제5회 전체회의를 개최하고, 개인정보가 유출된 16개 사업자의 개인정보보호 법규 위반에 대해 총 2370만원의 과징금과 9200만원의 과태료 부과 처분을 의결했다.

이번 조사는 모두 사업자들이 한국인터넷진흥원(KISA, 원장 이원태)에 유출 사실을 신고함에 따라 진행됐다.

조사 결과 유출 원인으로는 해킹이 12건이었으며, 업무상 과실이 4건이었다

먼저 캔바 등 4개 사업자는 아마존 클라우드서비스(AWS)를 이용하면서 안전한 인증수단을 적용하지 않아 해커에게 관리자 접근권한(액세스 키, Access Key)을 탈취당했고, 그 결과 캔바 23만6775건, 징가는 1만3057건, 플루크는 2230건, 하우빌드 3771건의 이름과 연락처 등 개인정보가 각각 유출됐다.

5개 사업자의 유출사고에 대한 해킹 방법은 에스큐엘(SQL) 인젝션, 웹셀 공격, 무작위 대입 공격으로 규명됐다.

SQL 인젝션(Structured Query Language Injection)은 데이터베이스에 대한 질의값을 조작해 해커가 원하는 자료를 데이터베이스로부터 유출하는 공격 기법이다.

웹셀(Web Shell)은 시스템에 명령을 내릴 수 있는 코드로서, 웹서버 취약점을 통해 서버 스크립트가 업로드되면 해커들은 보안 시스템을 피해 별도 인증 없이 시스템에 접속 가능해 원격으로 해당 웹서버를 조종할 수 있다.

이로 인해 한국화재연구소 427건, 넬슨스포츠 2696건, 아시아나항공 198건, SK하이닉스 2207건, 성보공업 276건의 개인정보가 유출됐다.

강원도의사회 등 4개 사업자의 경우 업무상 실수로 개인정보가 외부에 공개되거나 내부 직원들에게 개인정보가 잘못 전달됐다.

강원도의사회는 웹사이트 유지보수 업체가 실수로 다른 웹사이트(경상남도의사회)에 강원도의사회 선거인명부(3320명)를 게시했다.

한국투자신탁운용은 웹페이지 개발 실수로 접근 통제가 이뤄지지 않아 온라인 토론회(세미나) 참가 신청자명단(2932명)이 인터넷에서 검색됐다.

스태츠칩팩코리아와 제이셋스태츠칩팩코리아는 담당 직원이 교육 안내 메일을 보내면서 실수로 인사정보 파일을 잘못 첨부했다.

탈취당한 개인정보 중 일부는 다크웹 등에 게시되거나, 광고성 스팸 메일 등에 이용됐고, 주민등록번호가 유출되거나 잘못 처리한 사례도 확인됐으며, 일부 사업자들은 유출통지도 하지 않았다.

성보공업과 잇올의 유출된 개인정보는 텔레그램에, 한국화재연구소, 휘닉스중앙, 하우빌드의 유출 정보는 다크웹에 게시됐다.

넬슨스포츠는 해커가 관리자의 메일발송 권한을 이용해 회원들에게 광고성 메일을 보냈으며, 디지틀조선일보에서는 유학상담을 접수한 일부 학부모들에게 보이스피싱 메일이 보내졌다.

성보공업에서는 주민등록번호가 포함된 입사 지원서(83건)가 유출됐고, 하우빌드는 권한 없이 주민등록번호를 처리했으며, 스태츠칩팩코리아는 주민등록번호를 안전하게 암호화해 관리하지 않았다.

또한, 캔바, 징가, 플루크, 성보공업, 휘닉스중앙 등 5개 사업자는 개인정보가 유출된 사실을 알고도 즉시 피해자들에게 통지하지 않은 사실이 적발됐다.

개인정보위는 안전조치를 소홀히 하거나 유출통지를 하지 않는 등 법규를 위반한 16개 사업자 모두에게 과태료를 부과했고, 이에 더해 안전조치를 소홀히 해 개인정보가 유출된 정보통신서비스 사업자 징가와 하우빌드, 그리고 암호화하지 않은 주민등록번호가 유출된 성보공업에는 과징금도 부과했다.

개인정보위는 공용클라우드를 통한 해킹 사고가 빈번하게 발생하는 점에 대해 아마존 등 공용클라우드 서비스 제공자와 함께 개인정보 보호를 위한 공동 교육 및 홍보를 추진해 나갈 계획이다.

양청삼 개인정보위 조사조정국장은 유출 사고 즉시 통지하지 않은 사례에 대해 "개인정보가 유출되지 않도록 사전에 안전조치를 잘 하는 것도 중요하지만 사고 이후에 피해가 확산되지 않도록 피해자들에게 알리는 것도 중요하다"고 강조하면서 "유출이 발생한 경우 피해자들이 더 큰 피해를 당하지 않도록 즉시 유출 통지를 해달라"고 사업자들에게 당부했다.


관련기사

댓글삭제
삭제한 댓글은 다시 복구할 수 없습니다.
그래도 삭제하시겠습니까?
댓글 0
댓글쓰기
계정을 선택하시면 로그인·계정인증을 통해
댓글을 남기실 수 있습니다.

  • [인터넷 신문 등록 사항] 명칭 : ㈜한국정보통신신문사
  • 등록번호 : 서울 아04447
  • 등록일자 : 2017-04-06
  • 제호 : 정보통신신문
  • 대표이사·발행인 : 문창수
  • 편집인 : 이민규
  • 편집국장 : 박남수
  • 서울특별시 용산구 한강대로 308 (한국정보통신공사협회) 정보통신신문사
  • 발행일자 : 2022-10-04
  • 대표전화 : 02-597-8140
  • 팩스 : 02-597-8223
  • 청소년보호책임자 : 이민규
  • 사업자등록번호 : 214-86-71864
  • 통신판매업등록번호 : 제 2019-서울용산-0472호
  • 정보통신신문의 모든 콘텐츠(영상,기사, 사진)는 저작권법의 보호를 받은바, 무단 전재·복사·배포 등을 금합니다.
  • Copyright © 2011-2022 정보통신신문. All rights reserved. mail to webmaster@koit.co.kr
인터넷신문위원회 abc협회 인증 ND소프트