|
조사 결과, 2022년 7월 해커는 삼양그룹 메일서버 취약점을 이용해 관리자 권한을 얻은 뒤, 데이터 이관용으로 구축된 내부 파일서버의 인증 정보를 빼냈다. 이후 삼양홀딩스·삼양사·삼양패키징의 임직원과 주주, 관계자 등 14만9767명의 개인정보가 담긴 약 85만개 파일, 1.3테라바이트(TB) 규모 자료가 외부로 유출됐다. 이 가운데 주민등록번호가 포함된 정보는 8만2750명분이다.
개인정보위는 삼양데이타시스템이 데이터 이관이 끝난 뒤에도 해당 서버를 외부망과 통신 가능한 상태로 유지한 점을 문제로 봤다. 유출 당시 개인정보 처리 업무를 위탁받고 있던 삼양데이타시스템은 접근통제 의무 위반으로 시정명령과 공표 처분을 받았다.
삼양홀딩스·삼양사·삼양패키징은 주민등록번호 암호화와 개인정보 처리 위탁 계약 문서화 의무를 위반한 사실이 확인됐다. 세 회사에는 각각 1억8400만원의 과징금과 180만원의 과태료가 부과됐다. 삼양홀딩스와 삼양패키징은 보존 기간이 지난 일용직 근로자 급여 정보를 파기하지 않았고, 삼양홀딩스는 채용 과정에서 법적 근거 없이 주민등록번호를 수집한 것으로 조사됐다.
“알뜰폰 서비스의 가입·개통부터 해지까지 점검”
개인정보위는 이날 같은 회의에서 알뜰폰 사업자 8곳에도 총 1억7130만원의 과징금과 과태료를 부과했다. 대상은 △KT엠모바일 △미디어로그 △에스원 △LG헬로비전 △SK텔링크 △유니컴즈 △국민은행 △KT스카이라이프다.
KT 엠모바일은 과징금 1370만원과 과태료 2340만원, 미디어로그는 과징금 4720만원과 과태료 1440만원, 에스원은 과태료 1080만원을 부과받았다. LG헬로비전은 과태료 1530만원, SK텔링크는 과태료 1440만원, 유니컴즈는 과태료 1290만원, 국민은행은 과태료 1380만원, KT스카이라이프는 과태료 540만원을 부과받았다.
이들 사업자는 보유 기간이 지난 개인정보를 삭제하지 않거나, 접근 권한과 접속 기록 관리, 암호화 등 보호 조치를 미흡하게 운영한 것으로 나타났다. 일부 사업자는 신청자 선택 사항인 부가서비스 제3자 제공 동의를 필수 항목으로 구성해 동의하지 않으면 개통이 어렵도록 했다.
KT엠모바일과 유니컴즈는 유심 판매 과정에서 법적 근거 없이 주민등록번호를 수집했고, 미디어로그도 요금 납부자를 제3자로 변경하는 신청을 처리하면서 주민등록번호를 수집한 것으로 조사됐다. SK텔링크·LG헬로비전·KT엠모바일·미디어로그는 주민등록번호와 신용카드번호, 계좌번호 등을 암호화하지 않은 채 보관했다.
개인정보위는 알뜰폰 가입 회선이 약 1050만개로 전체 이동통신 휴대전화 회선의 약 18%를 차지하는 만큼, 가입부터 해지까지 개인정보 처리 체계를 점검할 필요가 있다고 설명했다. 사업자별로 최대 1년까지 차이가 난 미개통 신청서 보관 기간은 필요한 최소 수준으로 정하도록 했고, 가입보다 복잡한 해지 절차를 운영한 사업자에는 개선을 권고했다.
