`관리자 계정 소홀` MS, 韓 사용자에 11일 지나 알려…과징금 처분(종합)

박영수 개인정보보호위원회 조사1과장이 9일 정부서울청사에서 이날 제10회 전체회의에서 심의·의결된 `개인정보보호 법규 위반행위 대한 시정조치`에 대해 브리핑을 하고 있다.(사진=개인정보보호위원회 제공)

[이데일리 이후섭 기자] 마이크로소프트(MS)가 관리자 계정에 대한 접근통제를 소홀히 해 개인정보 보호법 위반행위로 처음 제재를 받게 됐다. 한국 이용자에게는 개인정보 유출 사실을 11일이나 지나서야 통지한 사실도 확인됐다. 카카오그룹 계열사 그라운드원은 해킹 공격을 당해 주민등록번호를 포함해 2400건이 넘는 개인정보가 유출됐다.

개인정보보호위원회는 9일 제10회 전체회의를 열고 마이크로소프트, 그라운드원 등 6개 사업자에게 5340만원의 과징금과 3100만원의 과태료를 부과하는 등 시정조치를 내렸다고 밝혔다.

개인정보위는 해킹, 담당직원 실수 등으로 개인정보가 유출된 사실이 신고·접수돼 조사에 착수했으며, 한국인터넷진흥원(KISA)의 기술지원을 받아 조사했다.

우선 마이크로소프트는 개인정보처리 시스템 관리자 계정에 대한 접근통제 등을 하지 않아 전세계에서 11만9000여 개의 이메일 계정이 유출됐고, 이중 대한민국 이용자 이메일은 144개로 확인됐다.

박영수 개인정보위 조사1과장은 “개인정보처리 수탁사업자의 관리자 계정 생성규칙을 잘못 적용해 해당 계적에 누구나 접근 가능한 상태가 지속됐는데 아무도 알지 못했고, 수탁사 직원이 이를 판매하는 바람에 고객 이메일 정보가 유출됐다”며 “성명, 생년월일, 성별, 이메일 주소, 내장폴더 정보, 이메일 제목 및 수·발신에 이용된 타인 명의의 이메일 주소 등이 포함됐다”고 설명했다.

MS는 개인정보 유출사고를 인지하고 영문 통지는 24시간 이내에 바로 했지만, 한국어 통지는 11일이 지나서야 이뤄졌다. MS는 과징금 340만원, 과태료 1300만원을 부과받았다.

박 과장은 “한국어를 사용하는 대한민국 이용자에 대해서도 바로 통지가 이뤄지는 것이 바람직하다고 판단해 개인정보 보호법 위반행위로 봤다”며 “MS에 대한 첫 제재 사례로, 개인정보위는 글로벌 사업자에 대해서도 국내 사업자와 동일하게 역차별이 생기지 않도록 처분해 나갈 것”이라고 말했다

그라운드원과 이노베이션 아카데미는 비밀번호 관리 소홀 등으로 주민등록번호가 암호화되지 않은 상태로 유출됐고, 이에 따른 개인정보 유출 신고나 통지를 지연했다. 그라운드원과 이모베이션 아카데미는 각각 2500만원의 과징금을 부과받았으며 그라운드원은 600만원, 이베노베이션 아카데미는 300만원의 과태료 처분도 받았다.

박 과장은 “그라운드원은 `크리덴셜 스터핑(대부분의 사람들이 모든 계정에 동일한 아이디와 패스워드를 사용하는 점을 이용해 다른 사이트에서 얻은 정보로 로그인하는 수법)` 공격으로 구글 지스위트(G Suite)에서 주민등록번호 2개를 포함해 2433건의 개인정보가 담긴 문서가 유출됐다”며 “이노베이션 아카데미는 업무용 PC를 대여하면서 해당 PC에 자동 로그인됐던 구글 클라우드 안의 정보가 유출됐다. 1255개의 주민등록번호를 포함해 8587명의 개인정보가 샜다”고 설명했다.

더블유엠오코리아의 경우에도 서버 오류를 이용해 관리자 권한을 얻느 `에스큐엘(SQL) 인젝션` 해킹 공격을 당해 1만8592명의 개인정보가 유출됐다. 한국프로축구연맹은 개인정보를 제3자에게 제공할 때 동의를 거부할 권리 등을 고지하지 않은 것으로 확인됐으며, 한국산악자전거연맹은 개인정보처리시스템 관리자 페이지에 대한 접근통제를 하지 않는 등 안전성 확보조치 의무를 이행하지 않았다.

송상훈 개인정보위 조사조정국장은 “사업자가 수집한 개인정보 관리를 소홀히 해 유출 사고가 발생하면 사기전화(보이스피싱) 등 범죄에 악용돼 2차 피해가 발생할 소지가 있다”며 “이번 사례가 사업자들이 개인정보 관리에 대해 각별한 주의를 기울이는 계기가 됐으면 한다”고 말했다.