개인정보위, 안전조치 의무 위반 3개 사업자 제재

자동차공임나라·오브콜스·와이엘랜드, 부실한 보안으로 수십만 개인정보 유출

개인정보보호위원회(이하 개인정보위)는 제17회 전체회의에서 개인정보보호 법규를 위반한 3개 사업자에 대해 총 1억 9천719만 원의 과징금과 2천730만 원의 과태료 부과를 하기로 의결했다고 26일 밝혔다.

위반 기업은 자동차공임나라, 오브콜스, 와이엘랜드 3곳이다. 자동차공임나라와 오브콜스는 웹셸(악성코드) 파일 공격을 예방하기 위한 최신 보안 프로그램이 적용돼 있지 않았으며, 데이터베이스(DB)에 대한 접근권한 미통제, 이용자의 비밀번호를 안전하지 않은 방법으로 일방향 암호화하는 등 안전조치의무를 소홀히 한 것으로 나타났다.

이로 인해 자동차공임나라 72만8천680명, 오브콜스 24만1천241명의 사용자 정보가 해킹으로 탈취됐다.

개인정보보호위원회 제17회 전체회의(이미지=개인정보위)

웹셸 파일 공격은 누리집 게시판 등의 파일 올리기(업로드) 취약점을 통해 시스템에서 실행가능한 악성코드를 올리고 실행하여 관리자 권한 획득, 개인정보를 탈취하는 공격 기법이다.

두 사업자 모두 개인정보 유출 통지를 지연한 사실을 확인하였으며, 자동차공임나라의 경우 탈퇴한 회원의 개인정보를 파기하지 않은 사실도 확인하였다.

이에 자동차공임나라는 과징금 1천250만 원과 과태료 1,080만 원, 오브콜스는 과징금 3천371만 원과 과태료 630만 원이 부과됐다.

와이엘랜드는 인터넷망에서 관리자페이지에 접속하는 과정에서 2차 인증 및 아이피(IP) 주소 제한 등의 조치 없이 아이디(ID)와 비밀번호만으로 접근 가능하도록 운영했다.

부실한 보안으로 인해 해킹을 막지 못해 이용자 22만 9천,600명의 개인정보(명)가 탈취됐으며, 개인정보 유출 통지를 지연한 사실과 보유 목적이 종료된 이용자의 개인정보도 파기하지 않았다.

이번 유출 사고에서 주요 원인이 된 웹셸 파일 공격의 경우, 해킹 피해를 입은 대부분의 서버에서 웹셸 파일이 발견될 정도로 잘 알려진 웹 취약점 공격(웹 해킹의 90% 정도에서 사용되고 있는 공격 기법)으로 각별한 주의·예방이 필요하다.

개인정보위 측은 관리자페이지에 대해서는 2차 인증, 접속 아이피(IP) 주소 제한 등 접근 권한·통제를 강화하여 외부 공격에 의한 유출 사고 예방에 노력을 기울일 필요가 있다고 설명했다.