인터파크 개인정보유출, 지인 사칭 이메일이 발단... 2665만건 정보 유출

[미래부 자료]

아주경제 한준호 기자 = 지난 5월 발생한 인터파크 침해사고는 지인을 사칭한 한 통의 이메일이 발단이 됐으며, 유출된 개인정보가 2665만 8753건에 이르는 것으로 조사됐다. 

정부는 31일 미래부와 방통위, 한국인터넷진흥원(KISA), 민간 전문가로 구성된 민관합동조사단의 조사결과에서 이번 해킹 사건의 발단은 인터파크 A직원이 악성코드가 담긴 이메일을 열면서 시작됐으며, 해커가 스피어피싱(작살형피싱)으로 직원PC에 악성코드를 감염시킨 뒤 DB(데이터베이스) 서버에 접근 가능한 직원 PC의 제어권을 획득해 개인정보를 외부로 유출했다고 밝혔다.

이 과정에서 해커는 패스워드 관리 및 서버 접근통제 관리 등의 취약점을 악용해 인터파크 회원정보 2665만 8753건이 보관된 파일을 16개로 분할하고 외부로 유출시켰다. 방통위는 2665만 여건의 개인정보에 대한 중복 여부를 조사 중이다. 
 

[미래부 자료 ]

앞서 경찰청은 지난 7월 북한 정찰총국 소행으로 판단된다고 발표한 바 있으며, 조사단은 경찰로부터 넘겨 받은 사고 관련자료를 분석, 현장조사를 실시하면서 해킹의 구체적인 방법과 절차를 확인했다.

미래부는 조사과정에서 발견된 문제점을 개선·보완할 수 있도록 조사결과와 개선사항 공유 등 보안강화 기술지원을 실시했다. 방통위는 피해사실과 이용자 조치방법 등을 이용자에게 통지하도록 했으며, 이르면 오는 10월 개인정보 보호조치 위반 관련 사항에 대해 '정보통신망이용촉진 및 정보보호 등에 관한 법률'에 따라 조치할 예정이다.

이날 방통위와 KISA는 개인정보 유출사고 발생 시 피해를 최소화하기 위해 사업자가 준수해야 할 사항을 담은 '개인정보 유출 대응 매뉴얼'도 함께 발표했다. 이번 인터파크의 개인정보 유출사고에 대한 신고가 지연되면서 초기 대응에 한계가 드러났기 때문이다. 

앞으로 사업자는 매뉴얼을 참고해 자사의 상황에 맞도록 매뉴얼을 만들어 시행해야 한다.

해당 매뉴얼에는 △개인정보 유출 신속대응팀 구성‧운영 △유출원인 파악 및 추가유출 방지조치 △개인정보 유출 신고 및 통지 △이용자 피해구제 및 재발방지 대책 마련 등이 포함된다.

특히 해킹에 의한 정보 유출 사고 발생시 추가피해를 막기 위해 시스템 일시정지, 비밀번호 변경 등 상황에 따른 긴급조치를 시행해야 한다는 내용이 담겼다. 또 이용자 피해 최소화를 위해 이용자에게 피해사실 통지시 전화통화, 문자메시지, 이메일 등 이용빈도가 높은 방법을 우선 활용해 홈페이지에 팝업창 게시, 유출확인 메뉴 등의 조치를 병행하도록 했다. 실제 이용자가 분쟁조정 절차, 법정‧징벌적 손해배상제도를 활용할 수 있도록 이용자에게 해당 내용도 안내하도록 했다.

최성준 방송통신위원회 위원장은 “개인정보 유출사고가 발생한 경우에는 무엇보다 신속하게 이용자에게 알리고 관계기관에 신고하여 추가 피해를 막는 것이 중요하다”며, “이번 매뉴얼을 참고해 사업자마다 자체 상황에 맞는 매뉴얼을 마련하도록 하고 향후 유사사고 발생 시 신속히 대응할 수 있도록 개선해 나가겠다”고 밝혔다.