개인정보위 제12회 전체회의 결과

안녕하십니까? 개인정보보호위원회 조사조정국장입니다.

브리핑 시작하도록 하겠습니다.

개인정보보호위원회는 오늘 전체회의를 개최하여 개인정보 유출 사고가 발생한 ㈜엘지유플러스에 대해 과징금 68억 원과 과태료 2,700만 원을 부과하고 전반적인 시스템 점검 및 취약 부분 개선 등 재발 방지를 위한 시정조치안을 의결하였습니다.

지난 1월 해커에 의해 불법거래 사이트에 개인정보 약 60만 건, 중복 제거 시 약 30만 건이 공개된 ㈜엘지유플러스에 대해 그동안 개인정보보호위원회는 민관합동조사단·경찰 등과 협조하여 조사를 진행해 왔습니다.

개인정보보호위원회와 한국인터넷진흥원이 분석한 결과, 유출이 확인된 개인정보는 중복 제거 시 총 29만 7,117건이며, 유출 항목은 휴대전화번호·성명·주소·생년월일 등 26개의 항목이었고, ㈜엘지유플러스의 여러 시스템 중 유출된 데이터와 가장 일치하는 데이터를 보관하는 시스템은 고객인증시스템(CAS)인 점과 유출 시점은 2018년 6월경인 것으로 분석·확인되었습니다.

지난 1월부터 ㈜엘지유플러스의 개인정보 처리·운영 실태와 개인정보보호법 준수 여부를 조사하였고, 확인된 주요 위반사항에 대해 말씀드리도록 하겠습니다.

첫째, 조사가 시작된 2023년 1월까지 고객인증시스템의 서비스 운영 인프라와 보안 환경은 해커 등의 불법침입에 매우 취약한 상황이었습니다.

고객인증시스템의 운영체제, 데이터베이스 관리시스템, 웹서버, 웹 어플리케이션 서버 등 상용 소프트웨어 대부분이 유출이 발생한 것으로 추정되는 2018년 6월 기준으로 단종되거나 기술지원이 종료된 상태였습니다.

또, 불법침입과 침해사고 방지에 필요한 침입차단시스템, 침입방지시스템, 웹방화벽 등 기본적인 보안장비가 설치되지 않았거나 설치 중이더라도 보안정책이 제대로 적용되지 않았고, 일부는 기술지원이 중단된 상태였습니다.

특히, 고객인증시스템 개발기에 2009년과 2018년에 업로드된 악성코드가 조사 시점까지 삭제되지 않고 남아 있었고, 웹셸에 대한 점검이나 IPS의 웹셸 탐지·차단 정책도 적용되지 않고 있었습니다.

둘째, 고객인증시스템 운영기에서 관리하는 실제 운영 데이터를 개발기, 검수기로 옮겨 테스트를 진행한 후 일부 데이터를 방치하여 2008년에 생성된 정보 등 1,000만 건 이상의 개인정보가 조사 시점까지 남아 있었습니다.

셋째, 다량의 개인정보를 관리하면서도 개인정보취급자의 접근권한과 접속기록을 제대로 관리하지 않아 대규모 개인정보를 추출·전송한 기록을 남기지 않고 비정상 행위 여부에 대한 점검·확인이 이루어지지 않는 등 관리 통제도 부실한 상황이었습니다.

㈜엘지유플러스는 다수 국민의 개인정보를 처리하는 유무선 통신사업자로서 엄격한 개인정보 관리가 요구됨에도 고객인증 시스템의 전반적인 관리 부실과 함께 타사 대비 저조한 정보보호·보안 관련 투자와 노력 부족이 금번 개인정보 유출사고로 이어졌다고 판단하여 개인정보보호위원회는 금일 ㈜엘지유플러스에 대해 보호법 위반으로 과징금과 과태료를 부과하기로 결정하였습니다.

아울러, 최근 3년간 보호법 위반사실이 존재하는 ㈜엘지유플러스에 대해 개인정보보호책임자(CPO)의 역할과 위상 강화, 개인정보보호 조직의 전문성 제고, 개인정보 내부관리계획 재정립, 전반적인 시스템 점검 및 취약요소 개선 등을 시정명령하기로 하였고, 지난 1월 사고 이후 ㈜엘지유플러스에서 약속한 개인정보보호 관련 각종 투자와 2차 피해 방지 대책을 차질 없이 이행할 것을 아울러 당부하였습니다.

이번 조치는 2018년 6월경 발생한 유출로 분석되었으나 현재까지 지속되고 있는 해당 시스템 관리의 전반적인 부실과 다수의 법규위반으로 과징금이 부과된 건으로, 평소 다량의 개인정보를 보유·처리하는 사업자의 경우 개인정보보호 관련 예산 및 인력의 투입을 비용이 아니라 투자로 파악하는 전기가 될 것으로 기대합니다.

또한, 데이터 경제시대에 개인정보보호 관련 최고책임자 및 조직이 기업경영에서 차지하는 역할과 중요성에 대해 제고하게 되는 계기가 될 것으로 기대합니다.

이상으로 브리핑을 마치고 질문사항 있으시면 저나 우리 담당했던 과장 조사관이 답변드릴 수 있도록 하겠습니다.


[질문·답변]
※마이크 미사용으로 확인되지 않는 내용은 별표(***)로 표기하였으니 양해 바랍니다.

<질문> 이번에 과징금 관련해서 매출에... 과징금 산정 기준에서 위반행위와 관련된 매출은 통신 매출로 적용하신 건지 궁금하고요.

그리고 가중... 그리고 유플러스 측에서 어떻게 소명을 했는지도 궁금합니다.

<답변> 관련 매출액 관련하여 쟁점이 있었고요, 말씀하신 것처럼. 그리고 저희가 지금 브리핑한 것처럼 유출이 CAS 시스템에서 있었다, 라고 판단을 했고, 이 판단은 지난번 4월에 민관합동조사단에서 발표한 내용과 동일하고요. CAS 시스템이 부가서비스 인증을 위한 시스템이라고 하여서 관련 매출액은 그 부가시스템... 부가서비스로 잡았다는 점을 말씀드리고 싶습니다.

유플러스 측에서는 명확한 관계가 관련성이 없다, 라고 해서 과태료 처분 대상이라는 점을 주장하였었고, 관련 매출액 주장 관련하여서는 전체 매출액이 아닌 CAS 관련된 매출로 잡아야 한다는 그 주장이 있었습니다.

<질문> 유출신고·통지 의무 위반 관련해서 알려진 바로는 유플러스가 1월 2일에 인지... 1월 2일에 인지를 해서 3일부터 신고를 한 거로 알려져 있는데, 그러면 이거 24시간을 초과했다는 말씀이신 건지 여쭙고 싶습니다.

<답변> 유출신고 부분은 과장이 조금 더 추가 설명을 드릴 거고요. 저희가 본 거는 유출통지가 제대로 이루어지지 않은 점을 문제 삼은 거고, 잘 아시겠지만 해지 이용자에 대한 비교확인 작업이 늦어지다 보니까 약 1개월 가까이 늦게 개별적으로 유출통지가 이루어진 부분에 대해서 우선 그 위반사항을 판단하였고요.

유출신고 관련해서는 우리 담당 과장이 조금 더 설명드리도록 하겠습니다.

<답변> (관계자) *** 일단 말씀하신 대로 유출신고는 1월 3일에 최초 신고가 들어왔고, 이후에 확인하는 대로 추가 신고는 있었습니다. 그래서 신고 위반으로 잡지는 않았고 개별통지 위반만 저희가 잡은 겁니다.

<질문> 지금 이어서 그 부분만, 애초에도 엘지유플러스에서 KISA 쪽에서 인지하고 알려줘서 시작됐다고 했는데 사실 KISA로 신고를 해야 되는 거잖아요. 그런데 그게 24시간 안에 신고가 됐다 여부에 어떤 관계로 이해를 해야 되는 건지, 그냥 아사무사하게 되는 건지 궁금합니다. 추가 질문이에요.

<답변> (관계자) 그건 아니고요. 제일 처음에 인지한 시점이 일단은 KISA에서 엘지에 통보를 했는데 그 엘지에서 본인들의 데이터가 맞는지 확인한 시점이 1월 2일이었고, 그때 바로 신고... 1월 3일이었고 그때 바로 신고를 했기 때문에 24시간 이내에 신고한 거 맞습니다.

<질문> ***

<답변> (관계자) ***

<질문> 안녕하세요? 저 그 아까 설명해주신 거에 이어서 조금 더 질문을 드리고 싶은데 아까 말씀해주신 것처럼 3주에서 한 달 정도의 기간을 두고 추가 유출을 또 공지를 했는데, 그것도 과징금에 반영이 된 거잖아요. 그게 과징금이 어느 정도 비율로 반영이 되는 건지가 궁금합니다.

<답변> 그렇게 개별 건으로 해서 그 과징금을 부과하지는 않고요. 저희가 과징금 부과한 그 조항에 따라서 유출이 있었고, 안전조치의무 위반이 있다고 봐서 위반행위 관련 매출의 3% 이내에서 과징금 산정 기준에 따라서 과징금을 부과하게 되었다, 라고 봐주시면 될 것 같습니다.

그러니까 과징금 산정하는 과정에서 여러 기준 중의 하나의 고려요소가 될 수는 있지만 그 각각의 건에 대해서 과징금을 부과하고 있지는 않습니다.

<질문> ***

<답변> 다시 한번 말씀드리면 여러 쟁점이 있었지만 CAS 시스템에서 유출이 있었고요. 유출이 있었다고 확인을 했고, CAS 시스템이 부가서비스에 인증하는 시스템이라고 소명을 했기 때문에 그 부가서비스 관련 매출액을 관련 매출로 잡았습니다.

<질문> 이게 2018년 6월 것이 유출된 것에 대해서 지금 결과를 내셨는데 여기 보면 지금까지 유출 사고가 그런 시정 요구... 개인정보 관리가 제대로 안 돼 있다고 판단해서 이런 과징금을 부과했다, 라고 설명하셨는데 그럼 당시의 지금, 그게 지금까지 이어져 있기 때문에 판단이 더 컸던 건가요? 아니면 그 당시에 유출됐던 것을 확인하신 건지 그게 좀 궁금합니다.

<답변> 저희가 전반적으로 조사를 했고요. 조사하는 과정에서 2018년 6월경으로 확인되었던 거고요. 당시의 그 의무 위반에 대해서도 중점적으로 봤고 그중의 일부는 현재까지 이어지고 있었다, 라는 점을 말씀드리는 것입니다.

<질문> ***

<답변> (관계자) ***

<답변> 우리 과장, 담당 과장이 좀 더 설명드리도록 하겠습니다.

<답변> (관계자) 일단 저희가 과징금 산정하는 기준에 피해 규모를 산정할 때는 중대성 위반... 중대성 부분을 판단하는 기준이 있습니다. 거기서 전체 개인정보의 5% 미만이 나갔느냐, 5% 이상 유출됐느냐의 기준이 있는데 그게 만약에 해커의 주장대로 3,000만 건이라면 거의 전체 고객이기 때문에 그때는 조금 더 위반성이 높아져서 다시 산정해야 될 수는 있지만 그것 이외에 지금과 거의 규모가 동일한데 조금 더 나왔다, 라고 해서 추가적으로 과징금을 더 하거나 위반행위를 또 하거나 이렇게 하지는 않습니다.

<질문> (사회자) 문자로 연합뉴스의 기자님께서 이번 유플러스 과징금이 국내 기업에 대해서는 역대 최대 규모인지에 대해서 질문하셨습니다. 이에 대해서 답변 부탁드리겠습니다.

<답변> 저희가 구체적으로 따져보지는 않았는데요. 제가 기억하는 것으로는 최대인 것으로 알고 있습니다.

<질문> 60만 건 중에 중복 제거해 30만 건이라고 하셨는데 이 중복이라는 게 그동안 설명 들었던 것들이 좀 불명확해서, 중복 제거해서 29만 명이 나왔다는 건 29만 건인지 자주 헷갈리더라고요. 그래서 설명 부탁드립니다.

<답변> 동일인을 제거하고 개별, 개인으로 봤을 때 29만 건이라고 이해해 주시면 될 것 같습니다. 29만 7,000명이라고 봐주시면 될 것 같습니다.

감사합니다.

<끝>