개인정보 보호를 위한 안전조치를 소홀히 한 ‘참좋은여행’ 등 세 업체가 과징금 3억3907만원과 과태료 1800만원을 부과받았다.
개인정보보호위원회는 전날 제5회 전체회의를 열고 참좋은여행, 루안코리아, 디에이치인터내셔널에 대해 이같이 의결했다고 14일 밝혔다.
개인정보위는 참좋은여행에 과징금 1억7438만원과 과태료 360만원, 루안코리아는 과징금 1억5219만원과 과태료 720만원, 디에이치인터내셔널은 과징금 1250만원과 과태료 720만원을 각각 부과했다.
이들 업체는 침입탐지시스템을 운영하지 않거나, 외부에서 개인정보 처리시스템 접속 시 인증서 등 2차 인증 등 적용하지 않은 것으로 조사됐다. 대신 아이디와 비밀번호로만 접속 가능하게 운영하다가 해킹으로 개인정보 유출에까지 이르게 한 책임이 있다고 개인정보위는 설명했다.
조사 결과 참좋은여행은 해커가 탈취한 내부 직원의 계정정보로 사내 시스템인 여행 주문관리시스템에 접속해 이용자의 개인정보가 유출된 것으로 조사됐다. 이를 통해 스팸메일이 발송되는 등 피해도 발생했다. 이 업체는 외부에서 개인정보처리시스템에 접속 시 아이디와 비밀번호만으로 접속하도록 운영한 사실도 확인됐다.
루안코리아는 침입탐지시스템 미설치로 개인정보 유출 시도 탐지도 하지 못한 것으로 조사됐다. 외부에서 데이터베이스에 접속 시에는 아이디와 비밀번호로만 접속할 수 있도록 운영했다. 비밀번호, 주민등록번호, 계좌번호는 암호화하지 않고 평문으로 저장했다.
디에이치인터내셔널에서는 ‘웹셸’ 공격을 통해서 해커가 개인정보를 유출하는 사건이 발생했다. ‘웹셸’은 업로드 취약점을 이용해 해커가 원격에서 웹서버를 조종하는 프로그램이다. 이 업체는 웹셸 등 악의적인 파일이 설치되지 않도록 업로드 파일의 확장자 제한, 홈페이지 보안 취약점 점검·개선 등 개인정보 보호법의 안전조치 의무를 제대로 지키지 않은 것으로 조사됐다.