미국 소더비와 함께 세계 최대 경매업체로 꼽히는 영국 크리스티가 해킹 공격으로 한국인 620명의 개인정보를 털려 과징금 2억8000만원을 물게 됐다. 크리스티는 수십억~수백억원대 예술 작품을 경매해 세계 곳곳의 ‘슈퍼리치’를 회원으로 보유한 업체다. 부유한 한국인 자산가의 개인정보가 대거 새어 나갔을 것으로 추정된다.
개인정보보호위원회는 지난 8일 전체회의를 열고 개인정보보호법을 위반한 크리스티에 과징금 2억8000만원과 과태료 720만원을 부과했다고 9일 밝혔다. 이 같은 처분 사실도 공표하라고 명령했다.
앞서 크리스티의 홈페이지는 뉴욕 경매를 앞둔 2024년 5월 9~10일 마비됐다. 미국 뉴욕타임스(NYT) 등 외신에 따르면 당시 해커그룹 ‘랜섬허브’는 이를 자신들의 공격 때문이라고 밝혔다. 랜섬허브는 또 크리스티 회원 50만명의 개인정보를 탈취했다고 주장했다. 이 중엔 세계적인 부자들의 민감한 정보도 있다고 덧붙였다. 일부 인사의 이름과 생일 등을 특수 브라우저로만 접근할 수 있는 다크웹에 게시하기도 했다.
크리스티는 유출 정보가 다크웹에 유포되는 것을 막기 위해 해커들과 협상을 벌인 것으로 알려졌다. 다만 크리스티는 일부 개인정보 유출 사실을 인정하면서도 구체적인 유출 규모를 밝히지는 않았다. 금융 데이터나 거래 기록이 새어 나가지 않았다는 점도 강조했다.
이와 관련한 개인정보위 조사는 한국인 회원으로 좁혀 진행됐다. 조사 결과 크리스티의 사내 지원 부서 직원이 보이스피싱에 속아 해커에게 개인정보 처리시스템 접근 권한을 부여한 것으로 나타났다. 해커가 간부급 직원인 척 연락해 시스템 접속에 필요한 비밀번호를 요청하자, 입사일과 소속 부서 등 기초 정보를 확인하는 절차를 생략하고 비밀번호를 발급한 것이다.
해커는 이 같은 수법으로 한국인 620명의 성명, 주소, 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 등을 빼간 것으로 조사됐다. 개인정보위는 피해를 본 한국인에 대한 정보를 공개하지는 않았다. 경매업체 특성상 유출 피해자 중에 자산가들이 상당수 포함됐을 것으로 보인다.
크리스티는 비밀번호 발급 대상자의 신원을 확인하기 위한 문자·이메일 인증 수단도 갖추지 않은 것으로 파악됐다. 고객 개인정보를 암호화 없이 저장해 놓은 점도 지적됐다. 법령상 근거 없이 고객 신분 확인용으로 주민등록번호를 수집해 보관한 점도 확인됐다. 개인정보 유출 사실을 2024년 5월 18일 인지한 뒤 법령상 신고 기한인 72시간을 넘겨 같은 달 31일 신고한 점도 법 위반 사항으로 지적됐다.
김용헌 기자 yong@kmib.co.kr
GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재, 수집, 재배포 및 AI학습 이용 금지
