해킹으로 306만 명 개인정보 털린 모두투어…과징금 7억 4천만 원

▲ 개인정보 유출에 관해 사과문을 올린 모두투어


개인정보 보호를 위한 안전 조치를 소홀히 해 306만여 명의 개인정보가 유출된 모두투어네트워크가 과징금 7억 4천여만 원을 물게 됐습니다.

개인정보보호위원회는 오늘(13일) 여행 중개 서비스인 모두투어를 운영하는 모두투어네트워크에 개인정보보호법 위반을 이유로 과징금과 개인정보 보호 관리체계 개선 권고 처분 등을 전날 전체회의에서 의결했다고 밝혔습니다.

개인정보위 조사 결과 지난해 6월 신원미상의 해커는 모두투어네트워크가 운영하는 웹페이지에 파일 업로드 취약점을 이용해 다수의 '웹셸 파일'을 올렸습니다.

이어 해당 파일에 심어둔 악성코드를 실행해 고객 정보 데이터베이스(DB)에서 회원·비회원 306만여 명의 개인정보를 탈취했습니다.

여기엔 고객 한글·영문 이름, 생년월일, 성별, 휴대전화번호 등이 담겨 있었습니다.

모두투어네트워크는 해커의 웹셸 공격을 예방하기 위해 업로드된 파일에 대한 파일 확장자 검증 및 실행권한 제한 등 보안 취약점을 점검해야 했으나 이를 소홀히 했습니다.

개인정보 유출 시도를 탐지·대응하기 위한 접근통제 조치도 미흡했던 것으로 밝혀졌습니다.

또 2013년 3월부터 수집해 온 비회원 316만여 건(중복 포함)의 개인정보를 보유기간이 지났음에도 파기하지 않아 대규모 유출을 야기했습니다.

아울러 작년 7월에 개인정보 유출 사실을 인지했지만, 정당한 사유 없이 2개월이 지나서야 이를 통지한 사실도 드러났습니다.

개인정보보호법에 따라 모든 개인정보처리자는 개인정보 유출 사실을 알게 된 후 72시간 이내에 개인정보위에 신고해야 합니다.

개인정보위는 모두투어네트워크에 과징금 7억 4천700만 원과 과태료 1천20만 원을 부과하고, 사업자 홈페이지에 처분 사실을 공표하도록 명령했습니다.

이와 함께 향후 유출통지 지연 행위 등이 재발하지 않도록 내부 개인정보 보호 관리체계 개선을 요구했습니다.

개인정보위는 "개인정보 탈취 위험을 사전에 탐지하고 차단 정책을 강화해야 한다"며 "정보주체의 2차 피해 예방을 위해 개인정보 유출 사실을 인지하게 되면 즉시 통지하도록 체계를 정비할 필요가 있다"고 당부했습니다.

(사진=모두투어 제공, 연합뉴스)

유영규 기자 sbsnewmedia@sbs.co.kr

▶ 네이버에서 SBS뉴스를 구독해주세요!
▶ 가장 확실한 SBS 제보 [클릭!]
* 제보하기: sbs8news@sbs.co.kr / 02-2113-6000 / 카카오톡 @SBS제보

Copyright ⓒ SBS. All rights reserved. 무단 전재, 재배포 및 AI학습 이용 금지