개인정보 유출 여기어때에 과징금 3억100만원

숙박 예약앱 여기어때를 서비스하고 있는 위드이노베이션이 지난 3월의 개인정보 유출건으로 인해 방송통신위원회로부터 과징금 3억100만원과 과태료 2천500만원을 부과받았다.

위드이노베이션은 자진 신고 등으로 과징금을 20% 경감 받을 기회가 있었다. 하지만 방통위 상임위원들은 위반 행위 중대성에 비해 과징금이 약하다고 지적하며, 10%만 경감키로 결정했다.

방송통신위원회는 8일 전체회의를 개최해 개인정보를 유출한 위드이노베이션에 대해 과징금과 과태료, 책임자 징계권고, 위반행위의 중지 및 재발방지대책 수립 시정명령, 시정명령 처분사실 공표 등 행정처분을 의결했다.

방통위는 사업자의 유출신고를 받고 지난 3월 23일부터 과학기술정보통신부경찰청한국인터넷진흥원(KISA)등과 함께 현장조사를 실시하여, 관련자료 분석 및 재연을 통해 ‘여기어때 마케팅센터 웹페이지’의 취약점을 이용한 ‘SQL인젝션‘ 공격을 통해 해커가 개인정보를 탈취한 사실을 확인한 바 있다.

해커에게 유출된 개인정보는 ‘여기어때’ 서비스 이용자의 숙박예약정보 323만9천210건과 회원정보 17만8천625건(이용자 기준 중복제거 시 총 97만1천877명)으로 파악됐으며, 이 중 유출된 숙박이용내역을 악용해 음란문자 4천817건이 발송된 것으로 나타났다.

이번 조사과정에서 위드이노베이션은 정보통신망 이용촉진 및 정보보호 등에 관한 법률에서 정한 접근통제, 접속기록 보존, 암호화, 유효기간제 등 개인정보 보호조치 규정 다수를 위반하고 있는 것으로 나타났다.

특히, 정보통신서비스제공자는 개인정보의 안전한 보관을 위해 서비스 관리 웹페이지 등 개인정보처리시스템에 대해 필요한 최소한의 인력에게만 접근권한을 부여하고, 외부에서 쉽게 접속하지 못하도록 인가되지 않은 접근을 차단하는 한편, 이상접속을 탐지차단하는 등 정보통신망법에서 정한 접근통제 조치를 취해야 한다.

하지만, 위드이노베이션의 경우 ▲개인정보처리시스템 다운로드 등의 접근권한이 있는 개인정보취급자의 컴퓨터를 외부 인터넷망과 업무망으로 분리하지 않은 점 ▲적절한 규모의 침입차단탐지시스템을 설치하고 개인정보처리시스템에 접속한 IP 등을 재분석해 불법적인 개인정보 유출 시도를 탐지하지 않은 점 ▲해킹을 당한 마케팅센터 웹페이지에 대해서 웹페이지 취약점 점검을 수행하지 않은 점 ▲고객상담사 등에게 파일 다운로드 권한이 있는 관리자페이지 접근권한을 부여하는 등 접근권한을 과하게 부여한 점 ▲인사이동 시 취급자의 접근권한을 지체 없이 변경하지 않아, 해커가 이를 악용해 개인정보 파일을 다운로드 한 점 등 정보통신망법 제28조제1항에 따른 접근통제 조치 전반을 소홀히 한 점이 확인됐다.

방통위는 위와 같은 보호조치 규정을 준수하지 않아 발생한 취약점이 이번 해킹에 직간접적으로 악용된 점, 피해규모가 크고 유출된 개인정보를 활용한 문자발송 등 이용자 추가 피해가 확인된 점 등을 종합적으로 고려해 위드이노베이션의 위반행위를 ‘매우 중대한 위반행위’로 보고 ‘과징금’을 산정부과했다.