AI 핵심 요약
beta- 티빙·강남언니서 대규모 개인정보가 유출됐다.
- 변협은 디스커버리·징벌배상·집단소송을 촉구했다.
- 기업 책임은 보안 미비와 유출 인과관계를 따져야 한다.
!AI가 자동 생성한 요약으로 정확하지 않을 수 있어요.
AI 해킹·제로데이 공격 고도화…"보안 미비와 실제 정보 유출 인과관계 따져야"
[서울=뉴스핌] 박민경 기자 = 온라인동영상서비스(OTT) 플랫폼 티빙에서 약 3954만 개 계정의 개인정보가 유출된 데 이어 미용의료 플랫폼 '강남언니'에서도 약 22만 명의 개인정보가 빠져나가는 등 대규모 개인정보 유출 사고가 잇따르면서 기업의 책임 범위와 피해자 구제 방식을 둘러싼 논의가 확산하고 있다.
대한변호사협회는 현행 손해배상 체계로는 기업의 보안 투자를 유도하거나 피해자를 실질적으로 구제하기 어렵다며 디스커버리(증거개시)와 징벌적 손해배상, 집단소송제 도입을 촉구하고 있다. 반면 기업에서 보안상 미비점이 발견됐다는 사실만으로 유출 책임을 곧바로 인정해서는 안 되며, 해당 취약점이 실제 공격에 이용돼 정보 유출로 이어졌는지 인과관계를 따져야 한다는 주장이 나온다.
9일 과학기술정보통신부 민관합동조사단에 따르면 티빙에서는 현재 이용 중인 활성 계정 2206만 개뿐 아니라 휴면 계정 850만 개와 탈퇴 계정 887만 개에서도 개인정보가 유출됐다. 유출된 정보는 아이디와 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 총 20개 항목 70종에 달한다.
지난 4일에는 강남언니에서 상담내역을 조회하는 연동 기능(API)에 비정상적인 접근이 발생해 고객 21만 9665명의 개인정보가 유출됐다. 이름과 연락처, 생년월일, 성별뿐 아니라 상담 내용과 사진, 예약 시간, 병원·의사명, 실제 시술 내용과 시술 일시 등도 유출 대상에 포함됐다. 운영사 힐링페이퍼는 공격자를 특정할 수 있는 정황을 확보했다며 지난 6일 경찰에 수사를 의뢰했다.
◆ "낮은 배상액으론 보안 투자 유인 없어"…징벌배상·집단소송 필요
대한변협은 잇따른 개인정보 유출 사고를 계기로 피해자가 실질적으로 권리를 구제받을 수 있도록 관련 제도를 강화해야 한다는 입장이다.
특히 개인정보 유출 사고의 경우 보안 시스템 운영 실태와 유출 경위 등 주요 증거를 기업이 보유하고 있어 피해자가 관련 자료에 접근하기 어렵다며 디스커버리 제도 도입을 주장했다. 또한 징벌적 손해배상제도를 강화하고 집단소송제 적용 범위를 개인정보 침해와 소비자 피해 전반으로 확대해야 한다고도 촉구했다.
도진수 대한변협 공보이사는 "우리나라는 사실조회나 문서제출명령 등 증거확보 절차 상당 부분을 재판장의 허가를 받아 진행해야 한다"며 "기업이 증거를 보유하고 있음에도 이를 은폐할 경우 자료 제출을 실질적으로 강제할 수 있는 수단이 부족하다"고 설명했다.
도 공보이사는 징벌적 손해배상과 집단소송제 등 이른바 '민생 3법'에 대해서도 "개인정보 유출 손해배상 소송을 해도 1인당 10만 원 정도의 배상액이 인정되는 경우가 많다"고 지적했다.
이어 "집단소송제도 없다 보니 실제 소송 절차를 거친 피해자들에게만 일정 금액을 지급하면 끝나는 구조라면 제재의 실효성이 부족하다"며 "기업 입장에서는 개인정보 보호에 적극적으로 투자해야 할 유인이 부족하기 때문에 징벌적 손해배상제도가 도입돼야 한다"고 강조했다.
◆ AI 해킹 고도화에 기업 책임 어디까지…"보안 미비·유출 인과관계 따져야"
반면 개인정보 유출 사고가 발생한 뒤 기업의 보안상 미비점이 발견됐다는 이유만으로 유출에 대한 책임까지 곧바로 귀속시켜서는 안 된다는 지적도 나온다. AI를 활용한 공격이 확산하면서 해커의 취약점 탐색 속도와 공격 방식이 고도화돼 기업이 모든 공격을 사전에 차단하기는 현실적으로 어렵다는 것이다.
구태언 법무법인 린 변호사는 "지금은 AI로 무장한 해커들이 공격하는 시대"라며 "AI는 단순·반복적인 공격을 수만 번 수행하면서 취약점을 찾아낼 수 있어 기업의 보안 책임만 계속 강화한다고 모든 해킹을 막을 수 있는 상황은 아니다"고 말했다.
특히 알려지지 않은 취약점을 이용하는 '제로데이 공격'에 대해서는 "이미 알려진 취약점을 방치했다면 기업의 책임을 물을 수 있지만, 아직 알려지지 않은 새로운 공격 방식까지 사전에 모두 차단하기는 어렵다"고 설명했다.
구 변호사는 기업의 보안상 미비와 실제 개인정보 유출 원인도 구분해야 한다고 강조했다. 그는 "기업이 당연히 취했어야 할 보호조치를 하지 않았다면 그 부분에 대해서는 행정처분을 할 수 있다"면서도 "그 보안상 미비 때문에 실제 개인정보가 유출된 것인지는 별개의 문제"라고 말했다.
이어 "실제 공격자가 해당 취약점을 이용해 개인정보를 빼냈다는 인과관계가 확인됐는지를 구분해서 볼 필요가 있다"며 "유출이라는 결과만으로 기업의 책임을 판단하기보다 알려진 취약점에 필요한 조치를 하지 않았는지, 해당 취약점이 실제 정보 유출로 이어졌는지 등을 구체적으로 따져봐야 한다"고 강조했다.
대규모 개인정보 유출이 반복되면서 피해자의 증거 접근권과 실질적인 배상을 강화해야 한다는 요구와 함께 기업에 어느 범위까지 책임을 물을 것인지도 쟁점으로 떠오르고 있다. 피해구제 수단을 강화하되 기업의 보호조치 의무 위반과 실제 개인정보 유출 사이의 인과관계를 구체적으로 따져 책임 범위를 정해야 한다는 지적이다.
pmk1459@newspim.com
