개인정보보호위원회, 2K게임즈에 과징금-과태료 2억171만원 부과

2022년 관리자 페이지 해킹 후 국내 이용자 1만2천906명 개인정보 유출

개인정보보호위원회가 글로벌 게임사 2K게임즈에 대해 대규모 개인정보 유출 사고와 관련한 제재를 확정했다. 헬프데스크 운영 과정에서 기본적인 접근 통제와 인증 절차를 소홀히 한 데다, 유출 인지 이후 신고·통지 의무도 지키지 않았다는 판단이다.

개인정보보호위원회는 지난 10일 전체회의를 열고 개인정보 보호 법규를 위반한 2K게임즈에에 과징금과 과태료를 포함해 총 2억 171만원을 부과하고, 처분 사실을 홈페이지에 공표하기로 의결했다고 11일 밝혔다.

개인정보보호위원회에 따르면 2K게임즈는 지난 2022년 9월 헬프데스크 관리직원 계정이 탈취되면서 관리자 페이지가 해킹됐고, 이 과정에서 국내 이용자 약 1만2천906명을 포함해 전 세계 헬프데스크 이용자 약 400만 명의 개인정보가 유출됐다. 

유출된 정보에는 이름, 이메일 주소, IP 주소, 이용 중인 게임명, 문의 내용 등이 포함됐다.

조사 결과 해커는 아이디와 비밀번호만으로 접근이 가능한 헬프데스크 관리자 계정을 이용해 시스템에 침입한 것으로 확인됐다. 개인정보보호위원회는 2K게임즈가 2011년부터 헬프데스크를 운영하면서 개인정보취급자가 정보통신망을 통해 개인정보처리시스템에 접속할 경우 추가적인 안전한 인증수단을 적용해야 함에도 이를 이행하지 않았다고 판단했다.

유출 사고 인지 이후 대응도 문제가 됐다. 당시 적용되던 개인정보 보호법은 개인정보 유출 사실을 인지한 경우 24시간 이내에 이용자에게 통지하고 감독기관에 신고하도록 규정하고 있었지만, 2K게임즈는 2022년 9월 28일 유출 사실을 인지한 뒤 이용자 통지를 10월 6일, 개인정보위 신고는 10월 8일에 진행해 법정 기한을 넘겼다. 

개인정보보호위원회는 정당한 사유 없이 신고와 통지가 지연됐다고 봤다.

이에 따라 개인정보보호위원회는 2K게임즈에 과징금 1억 9천451만원과 과태료 720만원을 부과하고, 처분 내용을 공표하도록 했다. 

개인정보보호위원회는 글로벌 사업자라 하더라도 국내 이용자의 개인정보를 처리하는 경우 국내 법령에 따른 안전조치와 사고 대응 의무를 동일하게 부담해야 한다는 점을 분명히 했다.

또한 이번 처분을 계기로 관리자 페이지 등 개인정보처리시스템에 대한 접근 통제를 강화하고, 아이디와 비밀번호 외에 일회용 비밀번호 등 추가 인증수단을 반드시 적용해야 한다고 강조했다. 

이와 함께 개인정보 유출 사고 발생 시 신속한 신고와 이용자 통지가 중요하다는 점도 다시 한 번 당부했다.