소송문서 유출한 법원행정처…'공공 최대 과징금' 2억원 부과

[디지털데일리 김보민기자] 개인정보를 유출하고 안전조치 의무를 위반한 법원행정처에 2억원대 과징금이 부과됐다. 개인정보보호법 개정 이전 기준으로 공공 최대 수준이다. 유출 정황을 인지한 이후 8개월이 지난 시점에 신고를 한 점에 대해서는 과태료가 부과됐다.

개인정보보호위원회(이하 개인정보위)는 전날 제1회 전체회의를 열고 법원행정처를 대상으로 과징금 총 2억700만원, 과태료 600만원을 부과하기로 의결했다고 9일 밝혔다.

강대현 개인정보위 조사총괄과장은 이날 브리핑을 통해 "법원행정처는 개인정보보호법이 개정되기 전에 있었던 사건이기 때문에, 구법을 적용한 공공기관 사건 중 가장 큰 과징금을 부과받았다"고 말했다. 개정법을 적용할 경우, 역대 공공기관 중 가장 많은 과징금을 받은 곳은 사회복지협이다. 규모는 4억8000만원 수준이다.

개인정보위에 따르면 법원행정처는 이용상 편의를 위해 내부망과 외부망 간 상호 접속이 가능하도록 네트워크 통신 통로인 포트를 개방해 운영했다. 포트를 통해 침입한 해커에 의해 내부망 전자소송 서버(스토리지)에 저장된 소송 문서 등 1014기가바이트(GB) 분량의 데이터가 유출된 것 또한 확인됐다. 유출된 소송 문서로는 자필 진술서, 혼인관계증명서, 진단서 등이 있다.

이후 경찰은 수사를 통해 4.7GB 파일을 분석했고, 해당 데이터 내 주민등록번호를 포함한 1만7998명의 개인정보를 확인했다. 개인정보에는 이름, 주민등록번호, 생년월일, 연락처, 주소, 나이, 성별 등이 포함됐다.

조사에 따르면 법원행정처는 소송 관련 문서를 전자소송 서버에 저장 및 보관하면서, 주민등록번호가 포함된 소송문서를 암호화하지 않았다. 아울러 인터넷AD서버 관리자 계정과 인터넷 가상화PC 취급자 계정의 비밀번호를 유추하기 쉬운 해당 계정의 초기 비밀번호를 그대로 사용했다. 개인정보위 측은 기본 형태의 비밀번호였다고 부연했다.

내부망에 위치한 인터넷가상화웹서버에는 백신 소프트웨어 등 보안 프로그램을 설치하지 않고 운영하는 등 기본적인 안전조치가 미흡했던 것으로 확인됐다.

개인정보위는 법원행정처가 늑장 신고를 한 점도 주목했다. 법원행정처는 2023년 2월 악성파일을 탐지하고 침해사고 자체 조사를 진행해 같은 해 4월 법원 전산망에 개인정보가 유출된 정황을 인지했다. 다만 신고 시점은 같은 해 12월로 약 8개월이 지난 때였다.

강 과장은 "구법 기준이기 때문에 유출 사항을 인지한 때에는 정보 주체에게 5일 이내 통지하게 돼 있고, 위원회에도 신고를 해야 한다"며 "유출 통지하고 신고의무 위반이 각각 300만원씩 해서, 과태료 600만원이 부과된 것"이라고 설명했다.

그러면서 "늦어지게 된 경위로는 '인지하기 어려운 점이 있었다'고 설명했지만, 소송 문서가 나왔기 때문에 개인정보가 있었다는 것을 당연히 유추할 수 있었을 것으로 판단해, 위원회에서 해당 주장을 인정하지 않았다"고 부연했다.

개인정보위는 관련 내용을 공표하는 한편, 개인정보처리시스템 운영체계 및 조직·인력, 관련 규정 등 보호 체계 전반에 걸쳐 안전조치 실태를 점검하고 개인정보 보호 조치 수준 향상에 대한 방안을 마련하도록 개선권고했다.

한편 개인정보위는 법원행정처 유출과 관련해 2차 피해는 확인되지 않았다고 밝혔다. 강 과장은 "현재까지 조사 과정에서 확인된 내용은 없다"며 "많은 규모가 유출된 만큼, 유념하고 있다"고 말했다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -