삼양그룹 4개사, 15만명 개인정보 유출…개인정보위, 과징금 5.5억 부과

[서울=뉴시스]박은비 기자 = 임직원과 주주 15만명의 개인정보가 유출된 삼양그룹 4개사가 5억원대 과징금 제재를 받았다. 이들 회사는 수년 전 데이터 이관이 끝난 낡은 서버를 끄지 않고 그대로 방치했는가 하면, 법으로 정한 파기 기한이 지난 개인정보를 수두룩하게 보관해 피해를 크게 키운 것으로 밝혀졌다.

개인정보보호위원회는 지난 11일 열린 제22회 전체회의에서 개인정보 보호 법규를 위반한 삼양그룹 4개사에 대해 과징금 총 5억5200만원, 과태료 1620만원을 부과하기로 의결했다. 이번에 제재 대상에 오른 곳은 삼양홀딩스, 삼양사, 삼양패키징, 삼양데이타시스템 등 4개사다.

개인정보위 조사 결과, 해커는 지난 2022년 7월 삼양그룹 내 메일서버 취약점을 노린 해커가 데이터 이관을 목적으로 설치된 내부파일서버 인증정보를 빼돌린 것으로 파악됐다.

이후 해커는 해당 서버에서 삼양홀딩스, 삼양사, 삼양패키징의 임직원 정보, 주주 정보, 관계자 정보 등 14만9767명 개인정보가 포함된 1.3TB(테라바이트) 규모 파일 85만개를 외부로 유출했다. 주민등록번호가 유출된 사람만 8만2750명에 달한다.

그룹 전산 업무를 맡은 삼양데이타시스템은 삼양 3사의 데이터 이관 작업이 다 끝난 뒤에도 문제의 서버를 꺼두거나 닫지 않았다. 사고 당일까지 외부 인터넷망과 연결된 상태로 허술하게 방치했다. 이 때문에 해커는 삼양3사 개인정보를 단시간에 외부 클라우드로 퍼 나를 수 있었다.

삼양그룹 계열사들의 허술한 보안 관리 실태는 이뿐만이 아니었다. 삼양 3사는 유출된 주민등록번호를 암호화조차 하지 않은 채 생으로 보관하다가 덜미를 잡혔다.

삼양홀딩스와 삼양패키징은 법령에서 정한 보관 기간이 훌쩍 지난 일용직 근로자의 급여 정보를 제때 파기하지 않고 쥐고 있었다. 삼양홀딩스는 신입사원 채용 과정에서 아무런 법적 근거도 없이 구직자의 주민번호를 무단 수집하기도 했다.

삼양 3사는 사고 당시 삼양데이타시스템에 개인정보 처리 업무를 몽땅 위탁해 맡기면서도, 정작 개인정보 처리 위탁 계약서조차 쓰지 않았다. 사건이 터지고 2년이 지난 2024년 12월에야 뒤늦게 계약서를 급히 챙긴 것으로 조사됐다.

개인정보위 관계자는 "더 이상 쓰지 않는 서버는 완전히 폐기하거나 외부 접근을 단단히 차단해야 하고, 불필요해진 개인정보는 제때 파기해야 한다"며 "기본적인 안전조치 의무를 충실히 이행한다면 개인정보 유출 가능성을 낮추면서도 정보주체 피해도 최소화할 수 있다"고 말했다.


◎공감언론 뉴시스 [email protected]