개인정보보호위원회는 8일 전체회의를 열고 개인정보보호 법규를 위반한 골프존에 대해 총 75억400만원의 과징금과 540만원의 과태료를 부과하고, 동시에 시정명령과 공표명령을 의결했습니다.

 

실내 스크린골프연습장 분야 업계 1위인 골프존은 지난해 11월 해커에 의한 랜섬웨어 공격을 받았습니다. 이 과정에서 해커는 알 수 없는 방법으로 골프존 직원들의 가상사설망 계정정보를 탈취해 업무망 내 파일서버에 원격접속하고 파일서버에 저장된 파일을 외부로 유출했습니다. 해커는 유출한 정보를 다크웹에 공개했습니다.

이로 인해 업무망 내 파일서버에 보관됐던 약 221만명 이상의 서비스 이용자와 임직원의 이름, 전화번호, 이메일, 생년월일, 아이디 등 각종 개인정보가 유출됐습니다. 또한 5831명의 주민등록번호와 1647명의 계좌번호도 외부로 빠져나갔습니다.

개인정보위는 이번 유출사고와 관련해 골프존의 개인정보보호법 준수 여부를 조사한 결과 안전조치 의무를 위반했다고 결론 내렸습니다.

개인정보위에 따르면 골프존은 전 직원이 사용하는 파일서버에 주민등록번호를 포함한 다량의 개인정보가 저장돼 공유되고 있다는 사실을 인지하지 못했습니다. 또한 파일서버에 대한 주기적 점검 등 관리도 미흡하게 운영했습니다. 구체적으로 코로나19로 인해 재택근무가 급증하자 골프존은 외부에서 내부 업무망에 아이디(ID)와 패스워드(PW)만으로 접속할 수 있도록 허용했는데요. 그럼에도 업무망 안에 존재하는 파일서버에 대해 개인정보 유출 관련 보안 위협을 검토하지 않았고, 필요한 안전조치도 취하지 않았습니다.

이 때문에 외부에서 서버로의 원격접속 등 불필요한 접근이 허용됐고, 업무망 내 모든 서버의 인터넷 통신이 허용되는 등 공유설정을 통한 개인정보 유출 방지를 위한 안전조치가 소홀히 됐습니다. 이에 해커는 탈취한 서버 관리자 계정으로 가상사설망을 통해 파일 서버에 접근하고 외부로 정보를 유출할 수 있었습니다.

개인정보위는 또 골프존이 주민등록번호 등을 암호화하지 않고 파일서버에 저장·보관해 최소 38만여명의 개인정보를 파기하지 않은 위반행위도 적발했습니다.

 

 

개인정보위는 골프존에 대해 안전조치 의무 위반으로 과징금 75억400만원을, 개인정보 파기 의무 미준수로 과태료 540만원을 부과하기로 결정했습니다. 또한 회사의 개인정보 처리 흐름에 대한 실질적인 관리계획 수립·시행, 공유설정 등을 통해 개인정보가 유출되지 않도록 안전조치의무 준수, 개인정보보호책임자의 위상과 역할 강화, 전 직원 대상 개인정보 보호 교육 등을 명령했고, 이러한 사실을 홈페이지 등에 공표하도록 했습니다.

이번 처분은 기업의 개인정보 보호 책임성을 강화하기 위해 지난해 9월 시행된 개인정보보호법 개정안이 실질적으로 적용된 첫 사례입니다. 이전까지는 과징금 상한액을 위반행위 관련 매출액 3%로 적용했지만, 법 시행에 따라 전체 매출액 3%로 상향 조정됐습니다.