골프존,221만명 정보유출…과징금 75억 국내 최다
골프존,221만명 정보유출…과징금 75억 국내 최다
  • 한지훈 기자
  • 승인 2024.05.09 14:22
  • 댓글 0
  • 트위터
  • 페이스북
  • 카카오스토리
이 기사를 공유합니다

골프존,'내부망서 개인정보 공유' 인지못해 사고...개인정보 유출 사실은폐 의혹도
골프존 "인지후 신속히 신고" 해명...강화된 개인정보보호법 첫 적용
골프존 본사
골프존 본사

[서울이코노미뉴스 한지훈 기자] 개인정보가 담긴 파일서버를 제대로 관리하지 않아 221만여명의 이름과 전화번호 등을 유출한 '골프존'이 국내 업체 중 역대 최대 과징금인 75억여원을 물게 됐다.

개인정보보호위원회는 8일 제8회 전체회의에서 이러한 내용을 의결했다고 9일 밝혔다.

실내 스크린골프연습장 분야 업계 1위이자 스크린골프 전문방송 등을 운영하는 골프존은 지난해 11월 해커에 의한 랜섬웨어 공격을 받았다. 랜섬웨어는 악성 소프트웨어로 데이터나 PC 등을 암호화한 뒤 이를 풀려면 보상을 요구하는 형태의 공격이다.

이 과정에서 해커는 알 수 없는 방법으로 골프존 직원들의 가상사설망 계정정보를 탈취해 업무망내 파일서버에 원격접속한 뒤 이곳에 저장된 파일을 외부로 유출했다. 

이후 유출한 정보를 다크웹에 공개했다.

이에 따라 업무망내 파일서버에 보관됐던 221만여명의 서비스 이용자와 임직원의 이름, 전화번호, 이메일, 생년월일, 아이디 등 각종 개인정보가 유출됐다. 또한 5831명의 주민등록번호와 1647명의 계좌번호도 외부로 흘러나갔다.

개인정보위에 따르면 골프존은 전 직원이 사용하는 파일서버에 주민등록번호를 포함한 다량의 개인정보가 저장돼 공유된다는 사실을 인지하지 못했을뿐더러, 파일서버에 대한 주기적인 점검을 소홀히 했던 것으로 드러났다.

골프존은 코로나19로 재택근무가 급증하던 시기에 새로운 가상사설망을 도입하면서 외부에서 내부 업무망에 아이디(ID)와 암호만으로 접속할 수 있도록 허용했다.

그러나, 업무망 안에 존재하는 파일서버에 대해 개인정보 유출관련 보안위협을 검토하지 않았고, 필요한 안전조치도 취하지 않았다.

이 때문에 외부에서 서버로의 원격접속은 물론이고 서버간 원격접속과 업무망내 모든 서버의 인터넷 통신이 허용됐으나, 골프존은 개인정보 유출을 방지하기 위한 안전조치를 소홀히 했다.  이 틈을 노린 해커는 탈취한 서버관리자 계정으로 가상사설망을 통해 파일서버에 접근했고, 외부로 파일을 유출할 수 있었다.

이번 조사에서는 골프존이 주민등록번호 등을 암호화하지 않은 채 파일서버에 보관하고 있었고, 보유기간을 넘기거나 처리목적을 달성해 불필요해진 38만여명의 개인정보를 파기하지 않은 사실도 드러났다.

지난해 11월 사고 발생당시 골프존은 "랜섬웨어로 인한 서버 디스크 파손으로 골프존 웹, 앱, 점포 운영사이트 등의 정상운영에 어려움을 겪고 있다"면서도 "회원 개인정보 유출은 없다"고 밝혔다.

이러한 설명을 두고 골프존이 개인정보 유출을 은폐한 것이 아니냐는 의혹도 나왔다. 골프존 관계자는 "그 당시엔 유출사실을 몰라서 그렇게 발표했던 것"이라며 "해킹사실을 인지한 후에는 신속하게 개인정보위에 신고하고, 고객들에게도 문자메시지로 이 사실을 알렸다. 숨긴 게 아니다"고 해명했다.

이에 개인정보위는 골프존에 대해 안전조치의무 위반으로 과징금 75억400만원을, 개인정보 파기의무 미준수로 과태료 540만원을 부과하기로 결정했다.

아울러 ▲회사의 개인정보 처리흐름을 분석해 관리계획 수립 ▲공유 설정을 통해 개인정보가 유출되지 않도록 조치강화 ▲개인정보보호책임자의 위상과 역할 강화 ▲주기적으로 전 직원 대상 개인정보 보호교육 실시 등을 명령했고, 이러한 사실을 홈페이지 등에 공표하도록 했다.

골프존 개인정보 유출 과정

이번 처분은 기업의 개인정보 보호 책임성을 강화하기 위해 지난해 9월 시행된 개인정보보호법 개정안이 실질적으로 적용된 첫 사례다.

이전까지는 과징금 상한액을 '위법행위와 관련된 매출액의 3%'로 했지만, 개정된 이후에는 '전체매출액의 3%'로 조정하되 위반행위와 관련없는 매출액은 제외하도록 했다.

관련없는 매출액을 증명해야 하는 책임이 기업에 주어졌기 때문에 결과적으로 과징금 부담이 무거워진 셈이다.

개인정보위에 따르면 과징금이 가장 많이 부과된 단일기업은 구글로, 2022년 692억원이었다.

국내 기업으로는 지난해 LG유플러스가 68억원으로 가장 많았지만, 이번에 골프존이 이를 크게 넘어섰다.

강대현 개인정보위 조사1과장은 "개정법이 적용되면서 과징금 부과대상에 기존 망 사업자뿐만 아니라 오프라인 사업자가 추가됐고, 과징금 상한액도 확대됐다"며 이번 골프존 케이스는 두가지가 다 동시에 적용됐기 때문에 무거운 과징금이 부과됐다고 설명했다.

강 과장은 "랜섬웨어 협박을 당한 직후 내부 업무망에 대해 점검을 전혀 하지 않았던 것이 이번 사건의 근본적인 원인"이라며 "골프존 회원의 44%에 달하는 220만건의 개인정보에 대한 보호조치를 하지 않았고, 개인정보가 내부 업무망에 보관된 사실자체를 인지하지 못했다"고 지적했다.

 


댓글삭제
삭제한 댓글은 다시 복구할 수 없습니다.
그래도 삭제하시겠습니까?
댓글 0
댓글쓰기
계정을 선택하시면 로그인·계정인증을 통해
댓글을 남기실 수 있습니다.

  • (주)서울이코미디어
  • 등록번호 : 서울 아 03055
  • 등록일자 : 2014-03-21
  • 제호 : 서울이코노미뉴스
  • 부회장 : 김명서
  • 대표·편집국장 : 박선화
  • 발행인·편집인 : 박미연
  • 주소 : 서울특별시 영등포구 은행로 58, 1107호(여의도동, 삼도빌딩)
  • 발행일자 : 2014-04-16
  • 대표전화 : 02-3775-4176
  • 팩스 : 02-3775-4177
  • 청소년보호책임자 : 박미연
  • 서울이코노미뉴스 모든 콘텐츠(영상,기사, 사진)는 저작권법의 보호를 받은바, 무단 전재와 복사, 배포 등을 금합니다.
  • Copyright © 2024 서울이코노미뉴스. All rights reserved. mail to seouleconews@naver.com
ND소프트