221만 고객 개인정보 털린 골프존…과징금 75억·과태료·시정명령 ‘철퇴’

(골프존 제공)

고객과 임직원 개인정보를 허술하게 관리해 221만 명의 개인정보 유출사고를 낸 골프존이 75억 원의 과징금을 부과받았다.

개인정보보호위원회는 지난 8일 제8회 전체회의를 열고 골프존에 대해 이같은 과징금과 함께 540만 원의 과태료를 부과하고, 시정명령과 공표명령도 의결했다고 9일 밝혔다.

골프존은 지난해 11월 해커에 의한 랜섬웨어 공격을 받았다. 골프존 직원들의 가상사설망 계정정보를 탈취한 해커는 같은 달 22일 업무망 내 파일서버에 원격접속하고, 파일서버에 저장된 파일을 외부로 유출한 뒤 다크웹에 공개했다.

당시 업무망 내 파일서버에 보관돼 있던 약 221만 명 이상의 서비스 이용자 및 임직원의 개인정보가 유출됐다. 개인정보에는 이름, 전화번호, 이메일, 생년월일, 아이디 등이 포함됐다. 주민등록번호(5831명)와 계좌번호(1647명)도 일부 유출됐다.

개보위가 골프존의 개인정보 보호법 준수 여부를 조사한 결과, 안전조치의무 위반 및 주민등록번호 처리제한 및 개인정보 파기 위반 사실을 확인했다.

골프존은 전 직원이 사용하는 파일서버에 주민등록번호를 포함한 다량의 개인정보가 저장돼 공유되고 있다는 사실을 인지하지 못했고, 개인정보파일이 보관돼 있는 파일서버에 대한 주기적 점검 등 관리체계를 미흡하게 운영한 것으로 밝혀졌다.

코로나19로 재택근무가 급증하자 골프존은 새로운 가상사설망을 긴급히 도입하는 과정에서 외부에서 내부 업무망에 ID와 비밀번호만으로 접속할 수 있도록 허용했다. 그러나 업무망 안에 존재하는 파일서버에 대해 개인정보 유출 관련 보안위협을 검토하고 필요한 안전조치는 하지 않았다.

외부에서 원격접속 등 불필요한 접근이 허용됐고, 서버 간의 원격접속과 업무망 내 모든 서버의 인터넷 통신이 허용되는 등 공유설정을 통한 개인정보 유출 방지 안전조치가 소홀한 것으로 드러났다. 해커는 탈취한 서버 관리자 계정으로 가상사설망을 통해 파일서버에 접근하고 파일서버에서 외부로 파일을 유출할 수 있었다.

또한 골프존은 주민등록번호 등을 암호화하지 않고 파일서버에 저장?보관하고, 보유기간이 지나거나 처리목적 달성 등 불필요하게 된 최소 38만여 명의 개인정보를 파기하지 않은 위반행위가 드러났다.

개보위는 이같은 조사결과를 토대로 골프존에 대해 개인정보 보호법상 안전조치의무 위반 과징금을 부과하고, 개인정보 파기의무를 준수하지 않은 행위에 대해선 과태료 부과를 결정했다.

아울러 △회사 내의 개인정보 처리흐름에 대한 면밀한 분석을 통한 실질적인 내부관리계획 수립?시행 △공유설정 등을 통해 개인정보가 유출되지 않도록 조치하는 등 안전조치의무 준수 △개인정보보호책임자의 위상과 역할 강화 △전 직원 대상 개인정보 보호 교육을 주기적으로 실시할 것을 시정명령하고 해당 사실을 홈페이지 등에 공표하도록 명령했다.

개보위에 따르면 이번 처분은 지난해 기업 차원의 책임성을 강화하기 위해 2023년 3월 개정한 개인정보 보호법 규정이 실질적으로 적용된 첫 사례이다. 해당 규정은 과징금 상한액을 위반행위 관련 매출액 3%에서 전체 매출액 3%로 상향하고, 비례성이 확보되도록 과징금 산정 시 위반행위와 관련 없는 매출액을 제외하는 내용이다.

개보위는 “전통적으로 개인정보 처리가 많이 이뤄지는 서비스 영역뿐만 아니라 다양한 고객정보를 취급하는 내부 업무영역에서도 철저한 개인정보 보호조치가 적용돼야 함을 강조한 사례”라며 “이를 계기로 업무처리 전반에 개인정보 보호 수준이 향상될 것으로 기대한다”고 밝혔다.

(서울=뉴스1)