北 해커에 주민번호 등 유출된 법원행정처…공공기관 최대 과징금(종합)

과징금 2억원…개인정보보호법 개정 전 구법 적용

실제 유출 피해 늘어날 수도…"0.46%만 복원 가능"

(개인정보위 제공)

(서울=뉴스1) 이기림 기자 = 개인정보보호 법규를 위반한 법원행정처가 총 2억 700만 원의 과징금과 600만 원의 과태료를 부과받는다. 개인정보 보호법 개정 전 기준으로 공공기관 역대 최대 과징금이다.

개인정보보호위원회는 지난 8일 제1회 전체회의를 열고, 개인정보보호 법규를 위반한 법원행정처에 대해 이같이 제재하기로 의결했다고 9일 밝혔다.

경찰, 법조계 등에 따르면 북한 정찰총국 산하 해커그룹으로 알려진 '라자루스'는 법원 전산망을 해킹해 최소 2021년 1월 7일부터 2023년 2월 9일까지 약 2년간 1014GB 용량의 법원 자료를 국내 서버 4대와 해외 서버 4대 등 외부로 전송했다.

경찰청 국가수사본부는 국가정보원, 검찰청과 합동으로 '법원전산망 해킹 및 자료 유출 사건'을 수사해 북한 소행으로 확인했다.

개인정보위도 조사를 진행했다. 법원행정처는 이용상 편의를 위해 내부망-외부망 간 상호 접속이 가능하도록 포트를 개방‧운영했다.

포트를 통해 칩입한 해커는 내부망 전자소송 서버(스토리지)에 저장된 1014GB 분량의 데이터를 유출했다. 해당 문서에는 자필 진술서, 혼인관계증명서, 진단서 등 다량의 소송 관련 문서가 포함됐다.

이 중 경찰 수사결과 복원이 이뤄진 4.7GB의 파일을 분석해보니, 해당 데이터 내 주민등록번호를 포함한 1만 7998명의 개인정보가 확인됐다.

조사 결과, 법원행정처는 소송 관련 문서(PDF 파일로 변환)를 전자소송 서버에 저장‧보관하면서 주민등록번호가 포함된 소송문서를 암호화하지 않았다.

인터넷AD서버 관리자 계정과 인터넷가상화PC 취급자 계정의 비밀번호를 유추하기 쉬운 해당 계정의 초기 비밀번호를 그대로 사용했다.

내부망에 위치한 '인터넷가상화웹서버'에 백신 소프트웨어 등 보안프로그램을 설치하지 않고 운영하는 등 기본적인 안전조치도 미흡했던 것으로 나타났다.

또한 법원행정처는 2023년 2월 악성파일을 탐지하고 침해사고 자체조사를 진행해 그해 4월 법원 전산망에서 개인정보가 유출된 정황을 인지했다.

그러나 그해 12월 7일 개인정보 유출 신고를 하고 홈페이지에 유출 관련 안내문을 게시한 사실이 확인됐다.

결국 개인정보위는 법원행정처에 과징금 2억 700만 원과 과태료 600만 원을 부과하고 관련 내용을 공표했다. 개인정보처리시스템 운영체계 및 조직‧인력, 관련 규정 등 보호체계 전반에 걸쳐 안전조치 실태를 점검하고, 개인정보 보호조치 수준 향상 방안을 마련하도록 개선권고했다.

강대현 개인정보위 조사총괄과장은 "역대 공공기관 중에서는 개정법을 적용한 지난 9월 한국사회복지협의회에 부과한 과징금 4억 8000만 원이 최대"라며 "법원행정처는 개인정보보호법 개정 전 사건이기에 구법을 적용해서는 법원행정처가 가장 높은 과징금을 부과받게 된다"고 밝혔다.

강 과장은 "경찰조사 결과 1000GB 상당의 데이터 유출은 확인했는데 실제 내용을 확인할 수 있는 건 4.7GB 정도"라며 "전수복원한 결과 주민번호 자체는 2000명밖에 나오지 않았지만 유출경위나 위반 목적 등을 봤을 때 구법상 적용 가능한 범죄에서 엄정하게 적용해 과징금을 부과했다"고 말했다.

분석된 유출 규모가 전체 유출 데이터의 일부에 불과해 실제로는 더 피해가 늘어날 수 있다는 분석도 나온다. 강 과장은 "0.46%만 복원이 가능했는데, 평균적으로 하면 한 250배 정도 이상의 유출이 있었을 가능성도 배제할 수 없다"고 밝혔다.

lgirim@news1.kr

Copyright ⓒ 뉴스1. All rights reserved. 무단 전재 및 재배포, AI학습 이용 금지.