밀폐용기 업계 1위 기업인 락앤락이 약 130만명에 달하는 회원 개인정보를 해킹으로 유출당한 사실이 뒤늦게 확인돼 정부로부터 5억원대 과징금을 부과받았다. 개인정보보호위원회는 락앤락이 유출 사실을 자체적으로 파악하지 못하고 해커의 협박 메일을 받고서야 알아챈 점, 그리고 관리자 계정에 동일한 비밀번호를 사용하는 등 기본적인 보안 관리조차 미흡했던 점을 지적했다.
2024년 두 차례 해킹…130만명 정보·임직원 정보 1111건 유출
개인정보보호위원회 조사에 따르면 해커는 2024년 4월 락앤락의 메일 서버 취약점을 악용해 침입한 뒤, 같은 해 5월과 11월 두 차례에 걸쳐 회원 약 130만명의 개인정보와 임직원 정보 1111건을 빼돌렸다. 유출된 정보에는 이름과 휴대전화번호, 주소 등 개인을 특정할 수 있는 항목이 다수 포함된 것으로 파악됐다. 그러나 락앤락은 대용량 트래픽이 외부로 전송되는 동안 이를 실시간으로 탐지하거나 방어하지 못한 것으로 드러났다.
“해커 협박 메일 받고서야 인지”…관리자 계정도 ‘동일 비밀번호’
더 큰 문제는 락앤락이 자체적으로 유출 사실을 파악하지 못했다는 점이다. 회사 측은 해커로부터 금전을 요구하는 협박 메일을 받은 뒤에야 대규모 개인정보 유출 사실을 인지한 것으로 조사됐다. 여기에 더해 시스템 관리자 계정에 동일한 비밀번호를 사용해 온 사실도 함께 드러나면서, 기본적인 보안 수칙조차 지켜지지 않았다는 지적이 나온다. 개인정보위는 락앤락이 개인정보 보호법상 안전조치 의무를 위반했다고 판단했다.
과징금 5억300만원·과태료 540만원 부과
개인정보보호위원회는 지난 8일 제13회 전체회의를 열고 개인정보 보호법을 위반한 락앤락에 과징금 5억300만원과 과태료 540만원을 부과했다고 밝혔다. 이는 유출된 개인정보의 규모와 함께, 기업이 최소한의 보안 조치를 이행하지 않은 책임을 함께 물은 조치로 풀이된다. 정부는 이번 락앤락 사례를 포함해 최근 잇따르는 대규모 개인정보 유출 사고에 강경 대응 기조를 이어가고 있으며, 다른 기업에 대해서도 압수수색 등 강도 높은 조사를 병행하고 있는 것으로 알려졌다.
소비자 피해 우려…기업 보안투자 실효성 도마 위
이번 사고로 개인정보가 유출된 소비자들 사이에서는 스미싱이나 보이스피싱 등 2차 피해에 대한 불안감이 커지고 있다. 업계에서는 대형 유통·제조기업들이 매년 상당한 정보보안 예산을 편성하고도 실제 침해 사고를 막지 못하는 사례가 반복되는 것을 두고, 형식적인 보안 투자를 넘어 실질적인 이상 트래픽 탐지 체계와 관리자 계정 보안 강화가 시급하다는 지적이 나온다. 개인정보위는 앞으로도 기업의 안전조치 의무 준수 여부를 지속적으로 점검하겠다는 방침이다.
