삼양그룹 계열사에 5억 과징금
회사 측 사고 후 보안체계 강화

사용하지 않는 서버를 방치하는 등 안전조치를 소홀히 해 약 15만명의 개인정보를 유출한 삼양그룹 계열사들이 과징금 5억5200만원을 물게 됐다.

개인정보보호위원회는 11일 서울 종로구 정부서울청사에서 연 전체회의에서 개인정보보호법을 위반한 삼양홀딩스와 삼양사, 삼양패키징에 과징금 5억5200만원과 과태료 1620만원을 부과하고, 삼양데이타시스템에 시정명령 등을 내리기로 의결했다고 12일 밝혔다.

개인정보위에 따르면 해커는 2022년 7월 삼양그룹 내 메일서버의 취약점을 이용해 관리자 권한을 획득한 뒤 내부 파일서버의 인증정보를 탈취했다. 이를 통해 ㈜삼양홀딩스· ㈜삼양사·㈜삼양패키징의 임직원과 주주, 관계자 등 14만9767명의 개인정보가 담긴 파일 약 85만개(1.3TB)를 빼냈다. 유출된 정보에는 8만2750명의 주민등록번호도 포함됐다.

원인은 기본적인 보안 관리 부실에 있었다. 조사 결과 삼양 3사의 개인정보 처리 업무를 위탁받은 삼양데이타시스템㈜은 데이터를 이관받은 뒤에도 해당 서버를 외부망과 연결된 상태로 방치했다. 이 때문에 해커가 개인정보를 단기간에 외부 클라우드로 유출할 수 있었던 것으로 확인됐다.

삼양 3사는 주민등록번호 암호화 등 안전조치 의무도 지키지 않았다. ㈜삼양홀딩스와 ㈜삼양패키징은 법정 보존기간이 지난 일용직 근로자의 급여정보를 파기하지 않았고, ㈜삼양홀딩스는 채용 과정에서 법적 근거 없이 주민등록번호를 수집한 것으로 조사됐다.

개인정보위는 “이번 사고는 주민등록번호 암호화 미흡과 불필요한 개인정보의 장기 보관으로 피해가 확대됐다”며 “불필요한 개인정보는 적시에 파기하는 등 기본적인 안전조치 의무를 철저히 준수해 달라”고 당부했다.

삼양홀딩스 관계자는 “개보위 조사·심의 결과에 따른 행정 처분을 엄중하게 받아들이고 있다”며 “정보주체자들에게 깊이 사과드린다”고 말했다. 삼양그룹은 사고 직후 유출 경로를 차단하고 4년간 보안 체계를 보강했다고 설명했다.