서버 접근통제·개인정보 암호화 미흡…기본 안전조치 위반
개인정보 처리 위탁계약도 사고 2년 뒤 체결…관리 부실 도마
[메가경제=심영범 기자]삼양그룹 계열사들이 약 15만명의 개인정보 유출 사고와 관련해 총 5억5200만원의 과징금 처분을 받았다.
주민등록번호 암호화와 서버 접근통제 등 개인정보 보호를 위한 기본적인 안전조치가 제대로 이뤄지지 않은 데다 불필요한 개인정보를 장기간 보관하는 등 관리 체계 전반에서 허점이 드러났다.
 |
| ▲ [사진=삼양그룹] |
13일 개인정보보호위원회에 따르면 개인정보위는 지난 11일 전체회의를 열고 개인정보 보호 법규를 위반한 삼양홀딩스·삼양사·삼양패키징·삼양데이타시스템 등 삼양그룹 계열사 4곳에 총 5억5200만원의 과징금과 1620만원의 과태료를 부과하고 시정명령 등을 의결했다.
이번 사고는 2022년 7월 신원 미상의 해커가 삼양그룹 메일서버의 취약점을 악용하면서 시작됐다. 해커는 관리자 권한을 확보한 뒤 데이터 이관용 내부 파일서버의 인증정보를 탈취했고, 이를 통해 삼양홀딩스와 삼양사, 삼양패키징 임직원 및 주주 등의 개인정보에 접근했다.
유출된 정보는 총 14만9767명의 개인정보가 담긴 파일 약 85만개로, 용량만 1.3TB에 달한다. 이 가운데 주민등록번호가 포함된 개인정보는 8만2750명분으로 확인됐다. 단순 연락처나 일반적인 인적사항을 넘어 민감도가 높은 고유식별정보까지 외부로 빠져나간 셈이다.
조사 과정에서는 그룹 내부 전산 관리 체계의 허술함도 확인됐다. 시스템 관리를 담당한 삼양데이타시스템은 데이터 이관 작업이 끝난 이후에도 해당 파일서버를 외부망에 연결된 상태로 방치했다. 사용 목적이 종료된 서버에 대한 폐기나 외부 접근 차단 등 기본적인 보안 조치가 이뤄지지 않은 것이다.
이 같은 관리 부실은 대량의 개인정보가 단기간에 외부 클라우드로 유출되는 결과로 이어졌다. 개인정보위는 사용하지 않는 서버를 방치하는 등 기본적인 안전조치 의무를 소홀히 한 것이 사고의 주요 원인이라고 지적했다.
개인정보를 보유한 계열사들의 관리 책임도 도마 위에 올랐다. 삼양홀딩스·삼양사·삼양패키징 등 3개 사는 주민등록번호 암호화 등 개인정보 보호를 위한 안전조치 의무를 제대로 이행하지 않은 것으로 조사됐다.
개인정보 보유와 파기 기준도 부실했다. 삼양홀딩스와 삼양패키징은 법정 보존기간이 지난 일용직 근로자의 급여정보를 파기하지 않았으며, 삼양홀딩스는 법적 근거 없이 채용 과정에서 주민등록번호를 수집한 사실도 확인됐다.
개인정보 처리 업무를 외부에 위탁하는 과정에서도 허점이 드러났다. 사고 당시 삼양홀딩스 등 3개 사는 전산 시스템 관리 업무를 삼양데이타시스템에 맡기고 있었지만, 관련 계약서는 사고 발생 이후 2년여가 지난 2024년 12월에야 작성했다. 개인정보 처리 업무를 위탁하면서도 계약 관계와 책임 범위를 명확히 하는 기본 절차조차 제때 이행하지 않은 것이다.
개인정보위는 위반 사항을 토대로 삼양홀딩스·삼양사·삼양패키징에 각각 1억8400만원의 과징금을 부과했다. 과태료는 삼양홀딩스 900만원, 삼양사 180만원, 삼양패키징 540만원으로 결정했다. 전산 시스템 관리 업체인 삼양데이타시스템에는 접근통제 등 안전조치 의무 위반을 이유로 시정명령과 공표 조치를 의결했다.
[저작권자ⓒ 메가경제. 무단전재-재배포 금지]
