"저도 돈 받나요?" 정보유출 135만명 줄 선다…배상금 결정 후폭풍 > IT/과학기사 | it/science

/사진=사회복지자원봉사인증시스템VMS 웹사이트 갈무리

사회복지자원봉사인증관리시스템VMS에서 발생한 135만명 규모 개인정보 유출사고의 여파로 개인정보 분쟁조정이 잇따라 신청된 것으로 나타났다.

10일 관계부처에 따르면 개인정보분쟁조정위원회는 A씨 등 VMS 회원 9명이 보건복지부 산하 한국사회복지협의회를 상대로 제기한 분쟁조정 신청을 지난해 12월 일부 받아들여 협의회가 9명에게 손해배상금을 각각 지급하라는 조정안을 의결했다. 협의회는 VMS를 운영하는 공공기관이다.

분쟁조정위는 성명·생년월일·성별·휴대전화번호·이메일·아이디·주소 등 일반 개인정보에 더해 직업·학교명·최종학력·자격면허 등 중요 개인정보까지 유출된 회원 6명의 배상금을 인당 15만원으로 산정했다. 일반 개인정보만 유출된 나머지 3명에 대해선 배상금을 인당 5만원으로 정했다.


분쟁조정위는 "협의회가 법령상 개인정보의 안전성 확보조치를 다하지 못한 행위 때문에 개인정보가 유출됨으로써 A씨 등의 개인정보 자기결정권이 침해됐다"며 "유출된 개인정보도 아직 회수되지 않아 보이스피싱·명의도용 등 2차 피해의 우려가 있는 점을 고려할 때, A씨 등의 정신적 고통을 인정할 수 있어 협의회는 손해를 배상할 책임이 있다"고 판단했다.

이번 분쟁조정안은 VMS 유출사고와 관련해 분쟁조정위가 처음으로 공개한 심의결과다. 다른 피해 회원들은 A씨 등 9명과 별도로 분쟁조정을 신청할 수 있다.

협의회는 A씨 등의 분쟁조정 신청에 대해 "웹방화벽·침입방지시스템IPS 등을 통해 해킹시도를 감지해 공격자의 IP를 차단했고, 변경된 비밀번호를 원상회복하고 웹사이트의 취약점을 진단·제거하는 등 후속조치를 이행했다"고 항변했다. 그러나 분쟁조정위는 협의회가 금전적 배상을 이행해야 한다고 봤다.

VMS는 지난해 1월 해킹 공격을 받아 웹사이트 데이터베이스에 보관하던 회원 135만명의 개인정보 1300만건이 유출됐다. 해커는 VMS에서 회원 비밀번호를 무단 변경할 수 있는 취약점을 발견, 같은 달 6~7일 VMS에 2000만차례 접속하며 회원정보를 열람한 것으로 조사됐다.

개인정보보호위원회는 "협의회가 VMS 소스코드 점검을 소홀히 했고, 또 해커가 이틀간 무더기로 접속했지만 개인정보 유출시도를 탐지·차단하지 못하는 등 안전조치 의무를 위반했다"며 지난해 9월 협의회에 과징금 4억8300만원을 부과하기로 의결했다.

의결 당시 개인정보위는 VMS가 회원가입 신청을 받을 때 주민등록번호를 대체할 인증수단을 제공하지 않아 개인정보보호법을 위반한 사실도 유출사고 조사 도중 적발했다며 협의회에 과태료 540만원도 부과하기로 결정한 바 있다.

개인정보 유출통지 등으로 사고 사실을 인지한 A씨 등이 분쟁조정을 신청하자 분쟁조정위는 개인정보위와 같은 결과를 내놨다.

사고 당시 협의회는 웹방화벽과 IPS·침입탐지시스템IDS 등 보안장비, 네트워크 장비의 접근제어목록ACL을 통한 접속 IP주소 제한 등의 수단으로 개인정보 유출시도를 차단했어야 했다는 취지다.

분쟁조정위는 또 "개인정보보호법은 개인정보처리자가 법령상 근거에 따라 주민등록번호를 처리하는 경우에도 주민등록번호 없이 가입할 수 있는 방법을 제공해야 한다고 규정한다"며 "아이핀·휴대전화 인증 등 대체수단을 통한 가입방법을 주민등록번호를 통한 가입방법과 한 화면에서 보여줘야 한다"고 밝혔다.

개인정보 분쟁조정은 개인정보 유출 등 피해를 입은 정보주체가 손해배상·침해중지·원상회복·재발방지 등을 분쟁조정위에 요구해 법원 소송보다 신속하게 조정안을 받을 수 있는 절차다. 사건 당사자들이 조정안을 수락할 경우 확정판결과 효력이 같은 재판상 화해가 성립한다.

성시호 기자 shsung@mt.co.kr

ⓒ 머니투데이 amp; mt.co.kr, 무단 전재 및 재배포 금지