해킹 당한 배달통, 보안조치 "아직도 부실"

방통위, 개인정보 소홀 과징금부과 예상

작년 말 해킹 피해로 11만에서 13만 건에 달하는 이용자 개인정보가 유출된 배달통(대표 김태훈)이 아직도 후속 대처를 제대로 하지 않은 것으로 확인됐다.

해킹 피해 직후 “2차 공격에 대비해 방화벽을 강화하는 등 안전 조치를 취했다”는 회사 입장과 달리, 여전히 이용자 개인정보보호를 위한 장치 보완이 미흡한 것.

방송통신심의위원회는 오는 29일 전체회의에서 배달음식 앱 업체인 배달통에 대해 개인정보 관리소홀을 이유로 수천만원의 과징금을 부과하는 안건을 의결할 예정이다. 과징금 규모는 8천만원 수준이 될 것으로 예상되고 있다.

배달통은 작년 말 보안 체계를 잘 갖췄음에도 해킹 피해로 당시 75만 회원 중 일부의 개인정보가 유출된 것으로 의심돼 즉시 경찰청 사이버안전국에 신고했다고 밝혔다. 그럼에도 피해 규모나 유출된 개인 정보 내역 등은 경찰 조사를 기다려봐야 한다는 이유로 공개하지 않았다. 다만 2차 공격을 대비해 방화벽을 강화하는 등 안전 조치를 취함으로써 추가 피해를 막아냈다고 자신했다.

하지만 방통위 확인 결과 배달통은 정보통신망법 제28조에 나온 6가지 항목을 대부분 위반한 것으로 드러났다. 또 방통위는 당시 유출된 개인정보 건수가 11만~13만 건인 것으로 확인했다. 그럼에도 배달통의 후속 보안 대처가 아직 제대로 이뤄지지 않았다는 것이 방통위 설명이다.

방통위 개인정보보호 윤리과 관계자는 “배달통은 정보통신망법 제28조 1항 규정인 개인정보보호 조치를 제대로 해야 함에도 기술적, 관리적 보호조치를 취하지 않은 사실이 있다”면서 “개인정보보호조치 6가지 조항 중 상당 부분을 위반했다”고 밝혔다.

또 “배달통으로부터 일부는 시정조치 했다고 들었지만, 일부분은 계약을 맺은 보안전문업체를 통해 5월 말까지 완료 처리하겠다는 답변을 들었다”며 “개인정보보호 조치가 완벽히 이뤄졌는지 하반기 다시 배달통을 점검할 예정이다”고 설명했다.

배달통 관계자는 “후속 보안조치가 아직 완전히 이뤄지지 않은 이유는 내부 절차상 일정 이상의 물리적 시간이 소요되기 때문”이라며 “해킹 사고 직후 방화벽 강화 및 디도스 공격 보안 등의 조치를 취했고 현재 나머지 시정 조치를 취하고 있는 단계”라고 해명했다.

또 “정보통신망법 제28조 1항을 대부분 위반했다는 방통위 내용은 사실과 다르다”면서 “개인정보 유출 건수도 방통위는 회원 정보나 데이터베이스를 조회한 것만으로도 유출된 것으로 계산하기 때문에 더 많아 보이는 것일뿐 실제는 다를 수 있어 정확한 내용을 확인 중”이라고 덧붙였다.

방통위는 29일 전체회의를 통해 배달통 과징금 부과 안건을 의결할 예정인데, 회사 측의 주장과 달리 방통위가 개인정보보호 조치에 여러 허점을 지적한 이상 과징금 부과가 불가피할 전망이다.