[아이뉴스24 최효경 기자] 개인정보보호위원회는 파일서버 해킹으로 약 15만명의 개인정보가 유출된 삼양그룹 소속 4개사에 총 5억 5200만원 과징금과 1620만원의 과태료를 부과했다고 12일 밝혔다.
처분 대상은 삼양홀딩스, 삼양사, 삼양패키징과 그룹 IT 계열사인 삼양데이타시스템이다. 개인정보위는 3개 계열사에 과징금·과태료·공표 명령을, 삼양데이타시스템에는 시정명령과 공표 명령을 각각 의결했다.
해커는 지난 2022년 7월 삼양그룹 메일 서버의 취약점을 악용해 관리자 권한을 확보한 뒤, 데이터 이관용으로 구축된 내부 파일서버의 인증정보를 탈취했다. 이 서버에서는 임직원·주주·관계자 등 14만 9767명의 개인정보와 주민등록번호 8만 2750명이 담긴 약 85만개 파일, 총 1.3테라바이트(TB) 규모의 정보가 외부 클라우드로 유출됐다.
개인정보위 조사 결과 삼양데이타시스템은 데이터 이관이 끝난 뒤에도 해당 서버를 외부망과 통신 가능한 상태로 유지했다. 삼양 3사는 주민등록번호를 암호화하지 않았고, 일부 계열사는 보존기간이 지난 일용직 급여정보를 파기하지 않았다. 삼양홀딩스는 채용 과정에서 법적 근거 없이 주민등록번호를 수집한 사실도 확인됐다.
삼양 3사는 사고 당시 삼양데이타시스템에 개인정보 처리 업무를 맡기고 있었지만, 개인정보위는 위탁 관련 계약서가 2024년 12월에야 마련됐다고 지적했다.
이번에 4개사가 함께 처분받은 배경에는 그룹 IT 운영 구조가 있다. 삼양데이타시스템은 삼양그룹의 전사적자원관리(ERP), 고객관계관리(CRM), 인사관리(HR) 등 핵심 애플리케이션을 구축·운영하는 계열사다. 개인정보위도 시스템 운영 책임이 있는 수탁자와 관리·감독 의무를 지닌 위탁자 모두 개인정보 보호 책임을 질 수 있다는 원칙을 적용해 왔다.
사고가 2022년 7월에 발생한 만큼 이번 처분에는 2023년 9월 15일 이전 위반행위에 적용되는 구 개인정보 보호법이 적용됐다. 현행법은 과징금 산정 기준을 위반행위 관련 매출액에서 전체 매출액으로 바꿨다. 개인정보위는 "사용을 중단한 서버는 폐기하거나 외부 접근을 차단하고, 불필요한 개인정보는 적시에 파기해야 한다"고 말했다.
/최효경 기자(hyomirror@inews24.com)