개인정보위, 안전조치 의무를 위반한 6개 사업자 제재

- 관리자 계정 인증, 보관기간이 지난 개인정보 즉시 파기 등 기본적 안전조치 유의 필요

  개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)는 4월 24일(수) 제7회 전체회의를 열고, 개인정보보호 법규를 위반한 ㈜미스터피자, ㈜야놀자에프앤비솔루션 등 6개 사업자*에 대해 총 1억 9,699만 원의 과징금과 4,710만 원의 과태료를 부과하기로 의결하였다.

  * ㈜디에스이엔, ㈜미스터피자, ㈜펀잇, ㈜야놀자에프앤비솔루션, ㈜에스티지24, ㈜하이플레이

  이들 사업자는 온라인으로 서비스를 제공하면서 ｢개인정보 보호법｣에 따른 안전조치와 개인정보 유출 통지 등의 의무를 위반하여 과징금과 과태료 부과 처분 등을 받았으며, 구체적인 위반 내용은 다음과 같다.

< ㈜디에스이엔 및 ㈜미스터피자(㈜디에스이엔에서 분할) >

  ㈜디에스이엔은 온라인 피자주문 서비스를 운영하는 업체로, 시스템 개발 과실로 관리자 페이지 주소를 입력하면 누구나 접속해 주문정보를 볼 수 있었으며, 검색엔진에도 해당 관리자 페이지가 노출되어 개인정보(주문정보)를 다른 사람이 볼 수 있었다. 또, 이용자 동의 시에는 주문정보를 1년만 보관한다고 했는데, 실제로는 기간이 경과한 이용자의 주문정보를 파기하지 않은 사실도 있었다.

  ㈜미스터피자는 ㈜디에스이엔으로부터 분할 설립되면서 개인정보도 이전받았는데, ㈜미스터피자 역시 보유기간이 경과한 주문정보를 파기하지 않고 보관하고 있었다. 

< ㈜야놀자에프앤비솔루션 >

  ㈜야놀자에프엔비솔루션은 운영 중인 ‘도도포인트’ 서비스와 관련하여 클라우드 데이터 저장소를 이용했는데, 데이터 저장소의 기본 설정값을 공개로 설정하여, 누구나 해당 주소로 접속하면 저장소에 있던 고객의 개인정보(최소 794건)를 볼 수 있었다. 

< ㈜에스티지24 >

  ㈜에스티지24는 LED 마스크 등을 판매하는 온라인 쇼핑몰로, 이벤트 진행 과정에서 홈페이지 접속자 정보가 중복되도록 잘못 관리함으로써, 일부 당첨자(173명)의 선물 수령 정보에 다른 당첨자의 수령 정보가 저장되어 열람된 사실을 확인하였다. 

< ㈜펀잇 및 ㈜하이플레이 >

  ㈜펀잇과 ㈜하이플레이는 해커가 관리자 계정으로 접속해서 개인정보를 유출한 경우다.

  ㈜펀잇은 해커가 관리자 계정으로 접속해서 회원정보를 확인하고 전체 회원 20,196명을 대상으로 문자메시지를 발송했는데, 외부에서 관리자 페이지에 접속할 때 아이디와 비밀번호 이외에 안전한 인증수단을 적용하지 않은 것을 확인하였다. 

  ㈜하이플레이의 경우, 해커가 관리자 계정으로 DB 관리프로그램에 접속한 후 1,409건의 개인정보를 유출하여 다크웹에 게시했다. 또, 다른 사업자로부터 사업을 양도하면서 개인정보도 이전받았으나 이용자에게 알리지 않았고, 법령에 근거없이 이용자의 주민등록번호를 수집한 사실도 있었다.

  또, ㈜디에스이엔, ㈜야놀자에프앤비솔루션, ㈜에스티지24, ㈜펀잇, ㈜하이플레이의 5개 사업자는 유출인지 후 24시간을 경과하여 유출신고하거나 통지를 완료하지 못하는 등 「개인정보 보호법」상 유출통지·신고 의무를 제대로 지키지 않은 것으로 밝혀졌다.

  유출사고 당시(’23.9월 이전) 「개인정보 보호법」에 따르면, 개인정보 유출사고가 발생한 정보통신서비스 제공자는 24시간 내에 유출 신고와 통지를 완료해야 했다. 현재는 ’23.9월 「개인정보 보호법」 개정으로 유출 통지와 신고 기한이 72시간으로 변경되었다. 

  개인정보를 수집·처리하는 사업자는 개인정보처리시스템에 접속 가능한 IP주소 제한 등 보안장비 설치·운영 이외에도, 운영 환경과 시스템 설정의 취약점은 없는지 주기적으로 점검해야 한다. 특히, 관리자 계정으로 외부망에서 접속하는 경우 2차 인증을 적용하고, 불필요한 개인정보나 보유기간이 지난 개인정보는 파기하는 등 개인정보 보호법을 준수해야 한다고 개인정보위는 당부했다.

* 기타 자세한 내용은 첨부파일을 확인해주시기 바랍니다.

- 담당자 : 조사2과 문인수(02-2100-3126)

“이 자료는 개인정보보호위원회의 보도자료를 전재하여 제공함을 알려드립니다.”