고객정보 2년 연속 유출 해피포인트…과징금도 15억 빵빵 > IT/과학기사 | it/science

해피포인트 멤버십 서비스를 운영하다가 고객정보 유출사고를 2년 연속 낸 SPC그룹 정보기술IT 계열사가 총 14억8420만원 규모의 과징금·과태료를 부과받았다.

개인정보보호위원회는 지난 12일 전체회의에서 해피포인트 운영사인 섹타나인에게 과징금 14억7700만원과 과태료 720만원, 공표명령을 부과하기로 의결했다고 13일 밝혔다.

해피포인트는 2022년 10월 5~11일 이용자 7585명의 아이디·이름·성별·출생연도와 해피포인트 카드번호가 탈취돼 일부 이용자의 포인트가 무단 사용되는 사고가 발생했다. 1년 후 2차 사고가 뒤따랐다. 이듬해 10월30일부터 11월3일까지 같은 방식으로 해킹이 발생해 9762명의 개인정보가 추가로 유출된 것.


해커는 다른 곳에서 입수한 아이디·비밀번호를 해피포인트 로그인 창에 무더기로 입력한 뒤 로그인에 성공한 이용자들의 개인정보를 간파하는 크리덴셜 스터핑을 공격에 활용했다. 서비스마다 같은 아이디·비밀번호를 돌려쓰는 이용자들의 습성을 악용한 수법이다.

해피포인트 가맹점이 섹타나인과 고객정보를 주고받는 데 사용하던 앱프로그래밍인터페이스API는 암호화가 느슨해 해커가 개인정보를 알아내는 통로로 활용된 것으로 조사됐다.

해커는 2022년 공격 당시 분당 최대 5053차례, 총 10만9183차례 로그인을 시도했다. 2023년 공격에선 분당 최대 1만1918차례, 총 17만9310차례로 시도 횟수를 늘렸다.

개인정보위는 "짧은 시간 같은 IP인터넷주소에서 대규모 로그인 시도가 발생하는 경우 이를 탐지·차단할 수 있는 대책을 마련하지 않았고, API 응답값의 개인정보를 보호하기 위한 암호화 조치를 소홀히 했다"고 지적했다. 이어 "2022년 사고 이후에도 재발방지책을 충분히 마련하지 않아 2023년 같은 방식으로 사고가 또다시 발생했다"며 "두번째 사고는 유출 통지·신고도 사실을 인지한 시점부터 정당한 사유 없이 72시간을 넘긴 것도 확인했다"고 밝혔다.

개인정보보호위원들은 연이은 사고에 따른 책임이 크다며 부과액을 원안보다 4억여원 가중했다. 과징금 규모는 회사가 2023년 기록한 순이익21억원의 69.8%에 이른다.

해피포인트는 파리바게뜨·파리크라상·던킨도너츠·배스킨라빈스를 비롯한 SPC그룹 브랜드와 현대오일뱅크·메가박스 등 그룹 외부기업을 연계한 멤버십 서비스다.

성시호 기자 shsung@mt.co.kr

ⓒ 머니투데이 amp; mt.co.kr, 무단 전재 및 재배포 금지