개인정보위, 안전조치 의무 위반 삼양그룹 4개사에 과징금 5억5200만원

2022년 해킹으로 개인정보 14만9767명분 유출…파일 85만개 외부 반출

주민등록번호 암호화·접근통제 등 기본 보호조치 미흡

개인정보위 로고 [사진=연합뉴스]
 

개인정보보호위원회가 개인정보 안전조치 의무를 위반한 삼양그룹 계열사 4곳에 총 5억5200만원의 과징금과 1620만원의 과태료를 부과했다. 해킹으로 임직원과 주주 등 약 15만명의 개인정보가 유출된 가운데 주민등록번호 암호화와 개인정보 파기 등 기본적인 보호조치가 미흡했던 것으로 조사됐다.

개인정보위는 지난 11일 전체회의를 열고 삼양홀딩스·삼양사·삼양패키징·삼양데이타시스템 등 삼양그룹 계열사 4곳에 대한 제재를 의결했다고 12일 밝혔다.

개인정보위 조사 결과, 신원이 확인되지 않은 해커는 2022년 7월 삼양그룹 내부 메일서버의 취약점을 이용해 관리자 권한을 획득하고, 데이터 이관 목적으로 설치된 내부 파일서버의 인증정보를 탈취했다. 이를 통해 삼양홀딩스·삼양사·삼양패키징 임직원과 주주, 관계자 등 총 14만9767명의 개인정보가 포함된 파일 약 85만개가 외부로 유출됐다. 이 가운데 주민등록번호가 포함된 정보는 8만2750명분이다. 

사고 원인으로는 계열사들의 미흡한 안전조치가 지목됐다. 삼양데이타시스템은 삼양홀딩스 등 3개사의 데이터 이관 작업이 끝난 뒤에도 해당 파일서버를 외부망과 연결된 상태로 방치했다. 이 때문에 해커가 서버에 접근해 개인정보를 외부 클라우드로 단기간에 유출할 수 있었던 것으로 조사됐다.

개인정보를 보유한 삼양홀딩스·삼양사·삼양패키징 역시 주민등록번호를 암호화하지 않는 등 개인정보 안전성 확보에 필요한 조치를 제대로 이행하지 않았다. 삼양홀딩스와 삼양패키징은 법령상 보존기간이 지난 일용직 근로자의 급여정보를 파기하지 않았으며, 삼양홀딩스는 채용 과정에서 법적 근거 없이 주민등록번호를 수집한 사실도 확인됐다.

개인정보위는 주민등록번호 암호화 의무와 개인정보 처리 업무 위탁 관련 문서화 의무를 위반한 삼양홀딩스·삼양사·삼양패키징에 각각 과징금 1억8400만원과 과태료 180만원을 부과했다. 개인정보 파기 의무를 위반한 삼양홀딩스와 삼양패키징에는 각각 과태료 360만원을 추가로 부과했다. 법적 근거 없이 주민등록번호를 수집한 삼양홀딩스에도 과태료 360만원을 부과했다.

안전조치 의무를 위반한 삼양데이타시스템에는 시정명령 등을 의결했다.