[서울=뉴스핌] 김정인 기자 = 커피전문점 할리스에서 약 276만건의 고객 개인정보가 유출되면서 회사의 관리 책임과 강력한 제재 가능성이 도마에 올랐다. 특히 과거 멤버십 서비스 개편을 위해 마련한 임시 데이터 파일에 최대 17년 된 고객 정보까지 남아 있었던 것으로 드러나면서 보안 관리의 적절성에 의문이 제기된다. 개인정보 보호 의무 위반이 확인될 경우 매출액을 기준으로 한 과징금이 부과될 수 있는 만큼 장기간 보관된 고객정보의 관리 실태와 사고 경위에 대한 당국 조사 결과가 주목된다.

◆ 과거 임시 파일서 유출…장기 보관 적절성 쟁점

19일 할리스는 지난 16일 멤버십 정보를 사용하는 클라우드 서비스에 외부의 비인가 접근이 발생해 개인정보가 유출된 사실을 확인했다고 밝혔다. 한국인터넷진흥원(KISA)에 신고한 유출 규모는 약 276만건으로, 중복 회원을 포함한 수치다.

이번 사고에서 주목되는 부분은 유출된 정보의 보관 형태다. 할리스에 따르면 해킹 대상은 현재 활성화된 고객 데이터베이스(DB)가 아닌 과거 멤버십 서비스 개편을 위해 제공한 임시 데이터 파일이다.

해당 파일에는 2009년부터 2020년 2월 11일까지의 누적 고객 데이터가 포함된 것으로 추정된다. 아이디와 비밀번호뿐 아니라 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI) 등도 유출 항목에 포함됐다.

특히 멤버십 개편을 위해 마련한 임시 데이터 파일이 장기간 보관된 배경에 관심이 쏠린다. 해당 파일에는 10년 이상 된 고객 정보까지 포함돼 있어 보관 필요성과 접근 권한 관리의 적절성을 둘러싼 논란이 불가피할 전망이다.

할리스는 가상화폐 채굴을 목적으로 클라우드 서비스에 비정상적인 접근이 이뤄졌고, 이 과정에서 고객 정보 일부가 유출된 것으로 파악하고 있다.

◆ 개인정보 보호 의무 위반 시 매출 3%까지 과징금

현행 개인정보 보호법 제29조는 개인정보처리자에게 개인정보 유출을 방지하기 위한 기술적·관리적·물리적 안전조치를 의무화하고 있다. 이번 사고에서도 과거 고객정보가 담긴 임시 파일에 대한 접근 권한과 인증 절차 등 보안 관리가 적절했는지가 주요 쟁점이 될 전망이다.

개인정보 보호법 제64조의2에 따르면 개인정보 유출과 관련해 법적 책임이 인정될 경우 전체 매출액의 최대 3% 범위에서 과징금이 부과될 수 있다. 지난 9월 시행된 개정법은 일정한 중대 위반에 대한 과징금 상한을 10%까지 높였다. 

◆ 비밀번호까지 유출…2차 피해 방지 책임도

고객 피해를 최소화하기 위한 후속 조치도 중요해졌다. 이번 유출 항목에는 비밀번호와 연락처, 주소 등이 포함돼 있어 동일한 계정 정보를 사용하는 다른 온라인 서비스에서도 피해가 발생할 가능성을 배제할 수 없다.

개인정보보호위원회는 일정 규모 이상의 개인정보 유출이나 외부의 불법 접근에 따른 유출 사고가 발생하면 법령에 따라 72시간 이내 신고하도록 규정하고 있다. 할리스의 사고 인지 및 신고 과정과 유출 고객에 대한 통지가 적절하게 이뤄졌는지도 살펴볼 부분이다.

할리스는 비인가 접근 경로를 차단하고 인증 절차와 비정상 로그인 모니터링을 강화했다고 설명했다. 해당 클라우드를 사용하는 멤버십 서비스를 조속히 중단하고 보안 시스템을 전면 점검할 계획이다.

할리스 측은 "유출된 개인정보로 인한 2차 피해 가능성도 지속적으로 점검하고, 이번 사고의 원인과 취약점을 바탕으로 개인정보에 대한 접근 권한과 인증 체계, 보안 시스템을 전면 점검하겠다"고 전했다.

kji01@newspim.com