개인정보위, 안전조치 의무를 위반한 2개 사업자 제재

- 에스큐엘(SQL) 인젝션 공격에 대비하기 위해 입력값 검증, 웹방화벽 운영 철저 등을 당부

  개인정보보호위원회(위원장 고학수, 이하 '개인정보위')는 2월 26일(수) 제4회 전체회의를 열고, 개인정보보호 법규를 위반한 2개 사업자*에 대해 총 1억 9,810만 원의 과징금 및 1,230만 원의 과태료를 부과하고 아울러 시정명령과 공표명령을 하기로 의결하였다.

   * ㈜비즈니스온커뮤니케이션(온라인 전자세금계산서 발행 '스마트빌' 서비스 운영),엔에이치엔위투㈜(패션 분야 오픈마켓 '가방팝' 서비스 운영)

  이들 2개 사업자의 구체적인 위반 내용과 처분 결과는 다음과 같다.

  ① ㈜비즈니스온커뮤니케이션 : 과징금 1억 3,700만 원과 과태료 270만 원 부과, 시정명령, 공표 명령

  ㈜비즈니스온커뮤니케이션은 신원미상의 자(이하 '해커')의 에스큐엘(SQL) 인젝션 공격*으로 '스마트빌' 서비스의 회원정보** 179,386건이 유출되었다. 

   * 에스큐엘(SQL, Structured Query Language) 인젝션 공격 : 악의적인 에스큐엘(SQL)문을 삽입해 데이터베이스가 비정상적인 동작을 하도록 조작하는 공격 기법

  ** 이름, 아이디, 비밀번호, 이메일, 연락처 등 

  조사 결과, ㈜비즈니스온커뮤니케이션은 에스큐엘(SQL) 인젝션 공격을 예방하기 위한 입력값 방어 조치를 하지 않았고, 외부로부터 불법적인 접근을 방지하기 위한 시스템 접속권한을 아이피(IP) 주소 등으로 제한하지 않아 개인정보가 유출된 것으로 밝혀졌다. 또한 유출신고를 지연한 사실도 확인하였다.

  이에 개인정보위는 ㈜비즈니스온커뮤니케이션에 과징금 1억 3,700만 원과 과태료 270만 원을 부과하고, 법령 준수와 재발방지를 위한 대책을 수립·이행하도록 시정명령하는 한편, 사업자 홈페이지에 처분받은 사실을 공표하도록 명령하였다.

  ② 엔에이치엔위투㈜ : 과징금 6,110만 원과 과태료 960만 원 부과, 공표 명령

  엔에이치엔위투㈜는 자사가 운영 중인 패션 분야 오픈마켓인 '가방팝' 쇼핑몰에 입점한 판매자를 위한 '판매자시스템'이 해커의 에스큐엘(SQL) 인젝션 공격을 받았고, 이로 인해 해당 시스템에서 보유한 534,903건의 판매자 및 고객의 개인정보가 유출되었다. 유출된 정보에는 회원의 주민등록번호도 포함된 것으로 확인되었다. 

  조사 결과, 엔에이치엔위투㈜는 '22. 7월 시스템을 개편하면서 과거 거래내역 조회 및 고객응대 등을 위해 기존 판매자시스템도 함께 계속 운영하였는데, 이 기존 시스템에 에스큐엘(SQL) 인젝션 공격을 예방하기 위한 입력값 방어 조치를 하지 않았고 웹방화벽을 비활성화한 상태로 운영하여 개인정보가 유출되었다.

  아울러, 엔에이치엔위투㈜는 '13년 2월 기존 판매자시스템의 구 데이터베이스(DB)를 현행 데이터베이스(DB)로 이관하면서 개인정보 처리 목적이 달성된 구 데이터베이스(DB)를 파기하지 않았는데, 여기에는 법상 파기 대상인 주민등록번호*가 계속 보관되어 있었던 사실도 확인하였다. 

   * 구 정보통신망법상 주민등록번호 법정주의 시행일('12.8.18.)로부터 2년 이내에 파기했어야 함

  이에 개인정보위는 엔에이치엔위투㈜에 과징금 6,110만 원과 과태료 960만 원을 부과하고, 사업자 홈페이지에 처분받은 사실을 공표하도록 명령하였다.

  개인정보처리자는 유출 사고가 발생하지 않도록 안전조치와 관련된 의무 사항을 상시 점검하고, 시스템 개선 등으로 불필요한 개인정보가 포함되어 있는지 점검하여 파기되도록 하여야 한다고 개인정보위는 당부했다.

  아울러 개인정보처리자가 에스큐엘(SQL) 인젝션 공격을 예방하기 위해 한국인터넷진흥원(KISA)에서 제공하는 '소프트웨어 보안약점 진단 가이드' 등 가이드라인을 참고할 것과, 필요하다면 '보안취약점 점검' 서비스도 활용할 것을 안내했다.([참고] 에스큐엘(SQL) 인젝션 공격 예방 안내 참조)

* 기타 자세한 내용은 첨부파일을 확인해주시기 바랍니다.

- 담당자 : 조사2과 김명숙(02-2100-3099)

              조사3팀 신혜영(02-2100-3154)

“이 자료는 개인정보보호위원회의 보도자료를 전재하여 제공함을 알려드립니다.”