서버 방치했다가 15만명 개인정보 유출…삼양그룹 4개사 과징금 5.5억

광고

개인정보보호위원회가 사용하지 않는 서버를 방치했다가 15만 명의 개인정보를 유출한 삼양그룹에 5억5200만원의 과징금을 부과했다.

개인정보위는 11일 전체회의에서 개인정보보호법을 위반한 삼양그룹 소속 4개사(삼양홀딩스·삼양사·삼양패키징·삼양데이타시스템)에 총 5억5200만원의 과징금과 1620만원의 과태료 부과를 의결했다고 12일 밝혔다.

개인정보위 조사 결과, 해커는 2022년 7월 삼양그룹 내부 메일서버의 취약점을 악용해 관리자 권한을 확보한 뒤 데이터 이관용 파일서버의 인증정보를 탈취했다. 이후 해당 서버에서 삼양홀딩스·삼양사·삼양패키징 등 3사의 임직원과 주주, 관계자 등 14만9767명의 개인정보가 담긴 파일 약 85만개를 빼돌렸다. 유출된 정보에는 8만2750명의 주민등록번호도 포함됐다.

광고

이 같은 유출은 기본적인 보안 관리 부실로 발생했다. 삼양그룹의 시스템 관리 업무를 맡은 삼양데이타시스템은 데이터 이관 작업이 끝난 뒤에도 해당 파일서버를 외부망과 연결된 상태로 방치했다. 해커는 이를 통해 대량의 개인정보를 단기간에 외부 클라우드로 유출할 수 있었던 것으로 조사됐다. 아울러 삼양홀딩스·삼양사·삼양패키징 등 3사는 주민등록번호를 암호화하지 않는 등 기본적인 안전조치 의무를 지키지 않았던 것으로 조사됐다. 삼양홀딩스와 삼양패키징은 법령상 보존기간이 지난 일용직 근로자의 급여정보를 파기하지 않고 보관했고, 삼양홀딩스는 채용 과정에서 법적 근거 없이 주민등록번호를 수집한 사실도 확인됐다.

개인정보위는 “기본적인 안전조치 의무를 충실히 이행한다면 개인정보 유출 가능성을 낮추면서 정보주체의 피해도 최소화할 수 있다”고 말했다.