"탈퇴했는데 내 정보가 왜 거기서 나와"…잊힌 '유령 파일'이 뚫렸다

[서울=뉴시스]윤정민 기자 = 커피 프랜차이즈 할리스에서 과거 멤버십 개편용으로 만든 임시 데이터 파일이 유출됐다. 개인정보의 수집부터 보관, 파기까지 전 과정에 걸친 관리 소홀 문제가 또다시 수면 위로 올랐다.

앞서 쿠팡 유출 사고에서도 탈퇴한 회원의 정보를 제때 파기하지 않고 남겨둔 사실이 드러난 바 있다. 해킹을 막는 기술 보안도 중요하지만 불필요한 개인정보를 제때 지우는 관리가 더 중요하다는 지적이 나온다.

20일 할리스에 따르면 회사는 지난 16일 멤버십 정보를 사용하는 클라우드 서비스에서 인가되지 않은 접근이 발생해 개인정보가 유출된 사실을 확인했다.

할리스가 한국인터넷진흥원(KISA)에 신고한 규모는 중복 회원을 포함해 약 276만건이다. 회사는 2009년부터 2020년 2월11일까지 누적된 고객 데이터로 추정하고 있다.

할리스는 유출 자료가 현재 운영 중인 고객 데이터베이스(DB)가 아닌 과거 멤버십 서비스 개편을 위해 제공한 임시 데이터 파일인 것으로 파악하고 있다. 유출 항목에는 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 서비스 이용 관련 정보 등이 포함됐다.

이번 사고는 운영 DB 외에 별도로 제공한 고객정보도 보호 대상이라는 점을 보여준다. 서비스 개편 등을 위해 데이터를 추출하더라도 실제 고객정보가 담겼다면 보관 위치와 접근 권한을 관리하고 사용 목적이 끝났을 때 사본까지 정리됐는지 확인할 필요가 있다.

곽진 아주대 사이버보안학과 교수는 이번 할리스 사고를 두고 "개인정보는 원본뿐 아니라 사본과 출력물까지 보호해야 한다"며 "보관기간을 지켰는지, 기간이 지난 정보를 제대로 파기했는지 점검해야 한다"고 말했다.

개인정보를 보관하고 파기하는 과정의 관리 문제는 앞선 대규모 유출 사고 조사에서도 확인됐다.

쿠팡 내부 규정에 따르면 회원정보는 탈퇴 후 90일이 지나면 주소와 계좌번호는 탈퇴 즉시 파기해야 했다. 하지만 탈퇴 회원이 등록한 이름·전화번호·주소 등 배송지 정보 246만5592건을 파기하지 않았고 이 중 일부가 유출됐다. 계좌번호 31만8499건도 즉시 파기하지 않은 사실이 확인됐다.

이에 개인정보보호위원회는 지난 6월 쿠팡에 개인정보 파기정책과 내부 관리체계를 정비하도록 시정명령했다. 해킹을 막기 위한 접근 통제뿐 아니라 보유할 필요가 없어진 정보를 제때 삭제하는 절차도 개선 대상으로 삼았다.

개인정보가 여러 시스템이나 파일로 복제되면 원본 DB에서 정보를 수정·삭제하더라도 다른 사본에는 남을 수 있다. 시스템 접근을 통제하는 것과 함께 어떤 정보를 왜 보관하는지, 언제까지 필요한지를 지속적으로 점검해야 하는 이유다.

보안업계에서는 조직의 관리체계 밖에 놓인 정보를 '섀도 데이터'라고 부른다. IBM이 전 세계 침해사고 피해 조직 604곳을 조사한 '2024 데이터 유출 비용 보고서'에 따르면 분석 대상 사고의 35%가 관리되지 않는 저장소의 데이터와 관련됐다. 데이터가 어디에 있고 어떻게 이용·보관되는지를 파악하는 일도 보안의 주요 과제인 셈이다.

곽 교수는 서비스에 필요한 정보를 따지기보다 표준 약관 등에 제시된 항목을 그대로 가져와 수집하는 관행을 지적했다. 그는 "쓰든지 안 쓰든지 정보는 다 모아 놓으면 좋다고 생각한다"며 할리스가 수집한 정보도 멤버십 제공에 꼭 필요한 항목이었는지 따져봐야 한다고 말했다.

염흥열 순천향대 정보보호학과 명예교수도 이번 사고를 계기로 개인정보 수집 항목의 필요성부터 살펴야 한다고 지적했다. 상품권 등을 전화번호로 전달할 수 있다는 점을 예로 들며 멤버십 서비스에 주소 등 각 정보가 꼭 필요한지 검토해야 한다는 취지다.

염 교수는 과거에 수집한 정보를 현재도 보관할 필요가 있는지, 목적이 끝난 정보의 삭제 절차가 적절하게 작동하는지도 점검해야 한다고 설명했다.

염 교수는 "수집했으면 철저하게 지켜야 하고 목적이 달성되거나 수명이 다했으면 파기하는 게 기본적인 프라이버시 보호 원칙"이라며 "개인정보 관리체계를 전면 검토할 필요가 있다"고 말했다.

이어 서비스 설계 단계부터 개인정보 보호를 반영하는 '프라이버시 중심 설계' 원칙을 강조하며 수집부터 파기까지 전 과정에 개인정보 보호 원칙을 적용해야 한다고 밝혔다.


◎공감언론 뉴시스 [email protected]