실내 스크린골프장 업계 1위 골프존이 221만여명의 회원 정보가 유출된 사건과 관련해 75억 400만원의 과징금을 부과받았다. 국내 기업이 개인정보위로부터 부과받은 과징금 중 최다 금액이다.
개인정보위원회는 9일 전날 전체회의에서 이러한 내용을 의결했다고 밝혔다. 골프존은 지난해 11월 해커에 의한 랜섬웨어 공격을 받았다. 랜섬웨어는 악성 소프트웨어로 데이터나 PC 등을 암호화한 뒤 이를 풀려면 보상을 요구하는 형태의 공격이다.
랜섬웨어 공격으로 골프존은 회원 221만명의 이름, 이메일, 번호, 생년월일 등을 유출당했다. 또한 5831명의 주민등록번호와 1647명의 계좌번호도 외부로 흘러 나갔다.
개인정보위원회에 따르면 골프존은 전 직원이 사용하는 파일서버에 다량의 회원 개인정보가 저장돼 있다는 사실을 인지하지 못했을 뿐더러, 파일서버에 대한 주기적인 점검을 소홀히 했던 것으로 드러났다.
골프존은 코로나로 재택 근무가 급증하던 시기, 새로운 가상 사설망(VPN)을 도입해 외부에서 내부 업무망에 아이디와 암호만으로도 접속할 수 있게 했다. 그러나 필요한 안전조치는 하지 않아 보안에 취약해졌고, 이 틈을 노린 해커가 외부로 파일을 유출했다.
이번 조사에서 골프존이 개인정보 파기의무를 준수하지 않았다는 사실도 밝혀졌다. 골프존은 주민등록번호를 암호화하지 않은 채 파일서버에 보관했고, 보유기간을 넘기거나 처리 목적을 달성해 불필요해진 36만명의 개인정보도 파기하지 않은 것으로 드러났다.
개인정보위는 골프존에 대해 안전조치의무 위반으로 과징금 75억400만원을, 개인정보 파기의무 미준수로 과태료 540만원을 부과하기로 결정했다.
아울러 ▲회사의 개인정보 처리 흐름을 분석해 관리 계획 수립 ▲공유 설정을 통해 개인정보가 유출되지 않도록 조치 강화 ▲개인정보보호책임자의 위상과 역할 강화 ▲주기적으로 전 직원 대상 개인정보 보호교육 실시 등을 명령했고, 이러한 사실을 홈페이지 등에 공표하도록 했다.
골프존의 과징금 75억원은 국내 기업 과징금 중 최다 금액이다. 이전까지 최다 금액은 지난해 LG유플러스로 68억원이다. 이는 지난해 개인정보법이 과징금 상한액을 ‘위법행위와 관련된 매출액의 3%’에서 ‘전체 매출액의 3%’로 조정한 것이 영향을 미쳤다.
골프존은 “재발 방지를 약속드린다”며 “올해부터 지난해 대비 4배 규모의 정보 보호 투자를 추진하겠다”고 밝혔다.
최다희 인턴기자 onlinenews1@kmib.co.kr
GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재, 수집, 재배포 및 AI학습 이용 금지
