15만명 개인정보 유출 삼양그룹 3개사에 과징금 5.5억원

불편하시다면 뒤로 가기를 눌러주세요

주민번호 8만여명 암호화 안 해…사용 끝난 서버도 외부망 연결

(서울=연합뉴스) 차민지 기자 = 개인정보 약 15만명이 유출된 삼양그룹 계열사들이 주민등록번호 암호화와 서버 접근통제 등 기본적인 안전조치 의무를 소홀히 한 사실이 드러나 제재를 받았다.

개인정보보호위원회는 지난 11일 전체회의를 열고 개인정보 보호 법규를 위반한 삼양그룹 소속 4개 사에 총 5억5천200만원의 과징금과 1천620만원의 과태료 부과 , 시정명령 등을 의결했다고 12일 밝혔다.

제재 대상은 지주사인 삼양홀딩스, 삼양사, 삼양패키징, 삼양데이타시스템 등 4개 사다.

개인정보위 조사 결과, 신원 미상의 해커는 2022년 7월 삼양그룹 내 메일서버의 취약점을 이용해 관리자 권한을 획득한 뒤 데이터 이관을 위해 설치된 내부 파일서버의 인증정보를 탈취했다.

이후 해당 서버에서 삼양홀딩스·삼양사·삼양패키징 임직원과 주주, 관계자 등 총 14만9천767명의 개인정보가 담긴 파일 약 85만개(1.3TB)를 외부로 유출했다. 유출된 개인정보에는 8만2천750명의 주민등록번호도 포함됐다.

조사 결과 삼양그룹의 시스템 관리 업무를 맡은 삼양데이타시스템은 데이터 이관 작업이 끝난 뒤에도 해당 파일서버를 외부망과 연결된 상태로 방치한 것으로 드러났다.

이 때문에 해커가 해당 서버에 저장된 개인정보를 단기간에 외부 클라우드로 유출할 수 있었던 것으로 확인됐다.

삼양홀딩스·삼양사·삼양패키징 등 3개 사는 주민등록번호를 암호화하는 등 안전성 확보에 필요한 조치도 하지 않았다.

이 가운데 삼양홀딩스와 삼양패키징은 법령상 보존기간이 지난 일용직 근로자의 급여정보를 파기하지 않았으며, 삼양홀딩스는 법적 근거 없이 채용 과정에서 주민등록번호를 수집한 것으로 조사됐다.

개인정보 처리 업무를 위탁하면서 관련 계약서를 제대로 작성하지 않은 사실도 확인됐다.

삼양 3사는 유출 사고가 발생한 2022년 7월 당시 삼양데이타시스템에 개인정보 처리 업무를 위탁하고 있었지만, 사고 발생 2년여가 지난 2024년 12월에야 관련 계약서를 마련했다.

이에 개인정보위는 삼양홀딩스·삼양사·삼양패키징에 각각 과징금 1억8천400만원을 부과했다.

과태료는 삼양홀딩스 900만원, 삼양사 180만원, 삼양패키징 540만원으로 결정됐다.

접근통제 등 안전조치 의무를 위반한 삼양데이타시스템에는 시정명령과 공표 조치를 의결했다.

개인정보위는 이번 사고가 사용하지 않는 서버를 폐기하지 않는 등 기본적인 안전조치 의무를 소홀히 해 발생했으며, 주민등록번호 암호화 미흡과 불필요한 개인정보의 장기 보관으로 피해가 확대됐다고 지적했다.

그러면서 사용이 중단된 서버는 폐기하거나 외부 접근을 차단하고, 불필요한 개인정보는 적시에 파기하는 등 기본적인 안전조치 의무를 철저히 준수해 달라고 당부했다.

chacha@yna.co.kr

인기상품 확인하고 계속 읽어보세요!

5

원치 않을 경우 뒤로가기를 눌러주세요.