[한국법률일보] 해커 공격으로 306만여 명의 회원·비회원 개인정보를 탈취당한 ‘모두투어’ 운영 사업자가 7억여 원의 과징금·과태료 제재 처분을 받았다.
개인정보보호위원회(위원장 고학수)는 12일 열린 제6회 전체회의에서, 개인정보보호법을 위반한 ㈜모두투어네트워크에 대해 총 7억5천720만 원의 과징금·과태료를 부과하고 동시에 공표명령 및 개선권고하기로 의결했다고 밝혔다.
㈜모두투어네트워크는 온·오프라인 여행 중개 서비스 ‘모두투어’의 운영 사업자다.
개인정보보호위원회는 2024년 7월 ㈜모두투어네트워크의 개인정보 유출 신고를 조사한 결과, 개인정보보호법에 따른 안전조치 의무와 개인정보 파기, 유출 통지의무를 소홀히 한 사실을 확인했다.
개인정보보호위원회에 따르면, 신원미상의 해커는 2024년 6월 ㈜모두투어네트워크가 운영 중인 웹페이지의 파일 업로드 취약점을 이용해 다수의 웹셸 파일을 업로드 했고, 해당 파일에 존재하는 악성코드를 실행해 고객 정보 데이터베이스(DB)에서 회원·비회원 306만여 명의 한글이름, 영문이름, 생년월일, 성별, 휴대전화번호 등의 개인정보를 탈취했다.
‘웹셸 공격’은 특정 웹페이지의 파일 업로드 취약점(파일 업로드 기능을 이용해 비정상적인 스크립트 파일 등을 실행)을 통해 시스템에서 실행가능한 악성코드를 삽입·실행해 관리자 권한 획득, 개인정보 탈취 등을 행하는 공격 기법이다.
개인정보보호위원회 조사결과에 따르면, ㈜모두투어네트워크는 해커의 웹셸 공격을 예방하기 위해 업로드된 파일에 대한 파일 확장자 검증 및 실행권한 제한 등 보안 취약점 점검·조치를 취해야 했지만 이를 소홀히 했고, 개인정보 유출 시도를 탐지·대응하기 위한 접근통제 조치도 미흡했던 것으로 밝혀졌다.
개인정보보호위원회는 ㈜모두투어네트워크가 2013년 3월부터 수집한 비회원 316만여 건(중복 포함)의 개인정보를 보유기간이 경과되었음에도 파기하지 않고 보유하고 있어, 대규모 유출에 영향을 끼쳤고, 2024년 7월 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 2개월이 지난 2024년 9월에서야 개인정보 유출사실을 통지한 것도 개인정보 침해 우려를 키우게 된 한 원인으로 보았다.
개인정보보호법 상 개인정보 유출사실 인지 후 72시간 내에 유출통지 의무가 있다.
개인정보보호위원회는 ㈜모두투어네트워크에 과징금 7억 4,700만 원과 과태료 1,020만 원을 부과하고, 사업자 홈페이지에 처분받은 사실을 공표하도록 명령하면서, 이와 함께 향후 유출통지 지연 행위 등이 재발하지 않도록 내부 개인정보 보호 관리체계 개선을 요구했다.
개인정보보호위원회는 “이번 유출 사고에서 주요 원인이 된 웹셸 공격은 잘 알려진 웹 취약점 공격이지만 DB에 접근이 가능해 피해 정도가 큰 특징을 가지고 있는 만큼, 개인정보 탈취 위험에 대한 사전 탐지·차단 정책 강화와 파일 업로드 취약점 점검·조치 등 각별한 주의와 예방이 필요하다.”고 밝혔다.
개인정보보호위원회는 이어 “대규모 개인정보 처리 사업자는 보유기간 경과, 처리목적 달성 등 수집한 개인정보가 불필요하게 되었을 때는 이를 지체없이 파기해 혹시 모를 개인정보 유출사고 발생 시 피해규모를 최소화해야 한다.”면서, “아울러, 정보주체의 2차 피해 예방 등을 위해 개인정보 유출 사실 인지 즉시 통지가 이루어질 수 있도록 내부 개인정보 보호 체계를 정비할 것”을 당부했다.
시민을 위한 법률전문 인터넷신문 '한국법률일보' 김명훈 기자 lawfact1@gmail.com
[한국법률일보] 해커 공격으로 306만여 명의 회원·비회원 개인정보를 탈취당한 ‘모두투어’ 운영 사업자가 7억여 원의 과징금·과태료 제재 처분을 받았다.개인정보보호위원회(위원장 고학수)는 12일 열린 제6회 전체회의에서, 개인정보보호법을 위반한 ㈜모두투어네트워크에 대해 총 7억5천720만 원의 과징금·과태료를 부과하고 동시에 공표명령 및 개선권고하기로 의결했다고 밝혔다.㈜모두투어네트워크는 온·오프라인 여행 중개 서비스 ‘모두투어’의 운영 사업자다.개인정보보호위원회는 2024년 7월 ㈜모두투어네트워크의 개인정보 유출 신고를 조사한 결과, 개인정보보호법에 따른 안전조치 의무와 개인정보 파기, 유출 통지의무를 소홀히 한 사실을 확인했다.개인정보보호위원회에 따르면, 신원미상의 해커는 2024년 6월 ㈜모두투어네트워크가 운영 중인 웹페이지의 파일 업로드 취약점을 이용해 다수의 웹셸 파일을 업로드 했고, 해당 파일에 존재하는 악성코드를 실행해 고객 정보 데이터베이스(DB)에서 회원·비회원 306만여 명의 한글이름, 영문이름, 생년월일, 성별, 휴대전화번호 등의 개인정보를 탈취했다.‘웹셸 공격’은 특정 웹페이지의 파일 업로드 취약점(파일 업로드 기능을 이용해 비정상적인 스크립트 파일 등을 실행)을 통해 시스템에서 실행가능한 악성코드를 삽입·실행해 관리자 권한 획득, 개인정보 탈취 등을 행하는 공격 기법이다.개인정보보호위원회 조사결과에 따르면, ㈜모두투어네트워크는 해커의 웹셸 공격을 예방하기 위해 업로드된 파일에 대한 파일 확장자 검증 및 실행권한 제한 등 보안 취약점 점검·조치를 취해야 했지만 이를 소홀히 했고, 개인정보 유출 시도를 탐지·대응하기 위한 접근통제 조치도 미흡했던 것으로 밝혀졌다.개인정보보호위원회는 ㈜모두투어네트워크가 2013년 3월부터 수집한 비회원 316만여 건(중복 포함)의 개인정보를 보유기간이 경과되었음에도 파기하지 않고 보유하고 있어, 대규모 유출에 영향을 끼쳤고, 2024년 7월 개인정보 유출 사실을 인지했음에도 정당한 사유 없이 2개월이 지난 2024년 9월에서야 개인정보 유출사실을 통지한 것도 개인정보 침해 우려를 키우게 된 한 원인으로 보았다.개인정보보호법 상 개인정보 유출사실 인지 후 72시간 내에 유출통지 의무가 있다.개인정보보호위원회는 ㈜모두투어네트워크에 과징금 7억 4,700만 원과 과태료 1,020만 원을 부과하고, 사업자 홈페이지에 처분받은 사실을 공표하도록 명령하면서, 이와 함께 향후 유출통지 지연 행위 등이 재발하지 않도록 내부 개인정보 보호 관리체계 개선을 요구했다.개인정보보호위원회는 “이번 유출 사고에서 주요 원인이 된 웹셸 공격은 잘 알려진 웹 취약점 공격이지만 DB에 접근이 가능해 피해 정도가 큰 특징을 가지고 있는 만큼, 개인정보 탈취 위험에 대한 사전 탐지·차단 정책 강화와 파일 업로드 취약점 점검·조치 등 각별한 주의와 예방이 필요하다.”고 밝혔다.개인정보보호위원회는 이어 “대규모 개인정보 처리 사업자는 보유기간 경과, 처리목적 달성 등 수집한 개인정보가 불필요하게 되었을 때는 이를 지체없이 파기해 혹시 모를 개인정보 유출사고 발생 시 피해규모를 최소화해야 한다.”면서, “아울러, 정보주체의 2차 피해 예방 등을 위해 개인정보 유출 사실 인지 즉시 통지가 이루어질 수 있도록 내부 개인정보 보호 체계를 정비할 것”을 당부했다.시민을 위한 법률전문 인터넷신문 '한국법률일보' 김명훈 기자 lawfact1@gmail.com