[PEDIEN] 개인정보보호위원회가 삼양그룹 소속 4개사에 대해 총 5억 5,200만원의 과징금과 1,620만원의 과태료를 부과하는 등 제재를 의결했다. 개인정보위는 지난 11월 11일 제22회 전체회의를 열고 삼양그룹 4개사의 개인정보 보호 법규 위반 사항을 심의했다.
이들 사업자는 파일서버에 대한 접근통제와 주민등록번호 암호화 등 기본적인 안전조치 의무를 소홀히 했으며, 이로 인해 개인정보 유출 사고가 발생한 것으로 드러났다. 지난해 7월, 신원 미상의 해커는 삼양그룹 메일서버의 취약점을 이용해 관리자 권한을 획득했다. 이후 해커는 데이터 이관 목적으로 설치되었던 내부 파일서버의 인증정보를 탈취하는 데 성공했다.
탈취된 인증정보를 이용해 해커는 해당 서버에 저장되어 있던 ㈜삼양홀딩스, ㈜삼양사, ㈜삼양패키징 임직원, 주주, 관계자 정보 등 총 149,767명의 개인정보가 담긴 약 85만 건의 파일을 유출했다. 특히 삼양데이타시스템㈜은 삼양3사의 데이터 이관이 완료된 후에도 해당 서버를 외부망 통신이 가능한 상태로 유지했다. 이로 인해 해커는 단기간에 외부 클라우드로 삼양3사의 개인정보를 유출할 수 있었다.
조사 결과, 삼양3사는 주민등록번호 암호화 등 안전성 확보에 필요한 조치를 제대로 이행하지 않았다. 또한 ㈜삼양홀딩스와 ㈜삼양패키징은 법령상 보존 기간이 지난 일용직 근로자 급여 정보를 파기하지 않았으며, ㈜삼양홀딩스는 채용 과정에서 법령 근거 없이 주민등록번호를 수집한 사실도 확인되었다.
더욱이 삼양3사는 2022년 7월 유출 사고 발생 당시 삼양데이타시스템㈜에 개인정보 처리 업무를 위탁하고 있었음에도 불구하고, 위탁 계약서를 2024년 12월에서야 마련한 것으로 밝혀졌다. 이에 개인정보위는 주민등록번호 암호화 및 개인정보 처리 업무 위탁 문서화 의무 위반에 대해 삼양3사에 각각 과징금 1억 8,400만원과 과태료 180만원을 부과했다.
아울러 개인정보 파기 규정 위반으로 ㈜삼양홀딩스와 ㈜삼양패키징에 각각 과태료 360만원, 법령 근거 없는 주민등록번호 수집에 대해 ㈜삼양홀딩스에 과태료 360만원을 부과했다. 안전조치 의무를 위반한 삼양데이타시스템㈜에는 시정명령 등이 의결되었다.
이번 사고는 더 이상 사용하지 않는 서버를 폐기하지 않거나 외부 접근을 차단하지 않는 등 기본적인 안전조치 의무를 소홀히 한 결과로 분석된다. 주민등록번호 암호화 미흡과 불필요한 개인정보의 장기 보관은 정보 주체의 피해를 더욱 확대시킨 요인으로 지적됐다.
개인정보위는 사용 중단된 서버는 즉시 폐기하거나 외부 접근을 차단하고, 불필요한 개인정보는 적시에 파기하는 등 기본적인 안전조치 의무를 철저히 이행해야 한다고 강조했다. 이러한 조치를 통해 개인정보 유출 가능성을 낮추고 정보 주체의 피해를 최소화할 수 있다고 덧붙였다.
저작권자 © PEDIEN 무단전재 및 재배포 금지
