할리스의 개인정보 유출 사고가 과거 멤버십 개편 때 만든 임시 데이터 파일에서 발생하면서, 목적이 끝난 고객정보의 보관·파기 관리가 쟁점으로 떠올랐다. 개인정보보호법은 처리 목적이 달성된 개인정보를 지체 없이 파기하도록 규정하고 있다. 할리스는 해당 파일이 남아 있던 경위를 조사 중이다.
20일 할리스에 따르면 이번 사고는 과거 멤버십 서비스 개편을 위해 제공한 임시 데이터에서 발생했다. 해당 파일에는 2009년부터 2020년 2월 11일까지 약 11년간 누적된 고객정보가 포함돼 있다. 가장 오래된 정보는 17년 전 수집된 자료다.
다만 파일 생성 시점과 개편 작업 종료 이후에도 보관할 필요가 있었는지는 확인되지 않았다. 외부 업체의 관여 여부와 실제 관리 주체도 추가 조사가 필요한 상황이다. 할리스 관계자는 “현재 활성화된 고객 DB가 아닌, 과거 멤버십 서비스 개편을 위해 제공한 임시 데이터 파일로 파악하고 있다”며 “상세 경위와 관련 시스템의 관리 상태 역시 함께 조사 중”이라고 밝혔다.
개인정보보호법 제21조는 개인정보 보유기간이 지나거나 처리 목적이 달성돼 불필요해진 경우 지체 없이 파기하도록 규정한다. 다른 법령에 따라 보존해야 한다면 별도로 분리해 관리해야 한다. 외부 업체에 개인정보 처리를 위탁했더라도 위탁 기업에는 수탁업체에 대한 관리·감독 의무가 남는다.
앞서 할리스는 지난 16일 클라우드 서비스에 대한 외부의 비인가 접근으로 개인정보가 유출된 사실을 확인했다. 회사는 가상화폐 채굴을 목적으로 한 비정상적인 접근 과정에서 고객정보 일부가 유출된 것으로 파악하고 있다.
가상화폐 채굴을 노린 해킹(크립토재킹)은 기업의 서버나 클라우드에 무단 접근해 컴퓨팅 자원을 사용하는 수법이다. 채굴에 필요한 연산 능력을 무단으로 활용하고 관련 비용을 피해 기업에 떠넘기는 것으로, 개인정보 탈취를 목적으로 한 해킹과는 성격이 다르다.
보안업계 관계자는 “공격자가 확보한 접근 권한에 따라 클라우드에 저장된 고객정보까지 열람하거나 탈취할 가능성이 있다”며 “이번 사고에서도 채굴 목적의 침입이 어떻게 개인정보 유출로 이어졌는지, 실제 정보가 외부로 반출된 경로를 확인하는 것이 중요하다”고 설명했다.
한국인터넷진흥원(KISA)에 신고한 유출 규모는 약 276만건이다. 유출 항목에는 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI) 등이 포함됐다. 다만 중복 회원이 포함돼 실제 피해 인원은 확정되지 않았다. 할리스는 “조사 결과에 따라 규모가 변경될 가능성이 있다”고 밝혔다. 현재 운영 중인 고객 DB의 추가 피해 여부도 확인이 필요한 상황이다.
조사 결과에 따라 과징금 등 제재 가능성도 있다. 개인정보보호법상 안전조치 의무 위반 등이 확인되면 위반행위와 무관한 매출을 제외한 매출액의 최대 3%까지 과징금이 부과될 수 있다. 개인정보 파기 의무 위반은 별도 과태료 대상이 될 수 있다.
개인정보보호위원회는 2024년 골프존의 개인정보 유출 사고에 과징금 75억400만원과 과태료 540만원을 부과했다. 당시 골프존은 개인정보 안전조치가 미흡했고, 보관 필요성이 없어진 38만여명의 개인정보를 파기하지 않은 것으로 조사됐다.
할리스 측은 “현재로서는 특정 시스템의 취약점을 사고 원인으로 단정하기 어렵다”며 “조사 결과를 바탕으로 필요한 개선 조치를 진행하겠다”고 밝혔다.
윤소진 기자 sojin@etnews.com
