[아이뉴스24 김문기 기자] 방송통신위원회가 이스트소프트의 개인정보 유출에 대한 과징금 1억원 등 제재를 결정했다.
이스트소프트가 국내 대표 보안기업임에도 이 같은 문제가 발생됐고, 2차 피해 등 우려를 키웠다는 점에서 책임을 물었다는 설명이다.
이스트소프트는 알툴바와 알패스, 알집 등 소프트웨어를 개발 및 제공하고 있다.
방송통신위원회(위원장 이효성)는 28일 과천정부종합청사에서 전체회의를 열고 이스트소프트의 개인정보 유출 조사결과 발표와 함께 과징금 1억1천200만원, 과태료 1천만원 및 시정명령을 결정했다.
◆ 알패스 통해 개인정보 유출 …"대응 부족"
방통위는 이스트소프트로부터 개인정보 유출신고를 받고, 지난해 9월 2일부터 과기정통부, 한국인터넷진흥원(KISA)과 함께 현장조사를 실시했다. 확보한 사고 관련자료 분석을 통해 해킹의 구체적인 방법 및 절차, 개인정보 유출규모 등을 확인했다.
아울러 지난 연말 이스트소프트의 개인정보를 탈취, 협박했던 해커도 검거됐다. 이 해커는 알툴바 서비스에 접속하면 이용자들이 저장한 알패스 정보를 열람할 수 있다는 점에 착안, 자체 제작한 해킹프로그램 '알패스 3.0.exe'와 불법 취득한 계정정보를 이용해 공격한 것으로 나타났다.
알패스는 이용자들이 잊기 쉬운 여러 웹사이트의 아이디, 비밀번호를 저장·관리 해주는 프로그램으로 알툴바 서비스 로그인 시 이용할 수 있다. 이를 이용해 공격자가 사전에 확보한 아이디(ID)와 비밀번호(PW) 정보 또는 일반 사용되는 정보파일을 프로그램을 통해 하나씩 대입시켜보는 식으로 사전대입공격을 감행한 것.
이 같은 수법으로 알패스 서비스 이용자의 외부 사이트 주소, 아이디, 비밀번호 2천546만1천263건과 16만6천179명 계정정보 등 이용자 1인당 약 150여건의 알패스 정보가 유출됐다.
해커는 빼낸 이용자의 알패스 등록정보를 악용해 이용자가 가입한 포털사이트에 부정 접속해 이용자들이 저장한 주민등록증과 신용카드, 사진을 확보한 뒤 휴대전화 개통 및 해킹에 사용할 서버 5대를 임대했다. 또 가상통화 거래소에 부정 접속해 이용자가 보유 중인 가상통화를 출금한 것으로 나타났다.
방통위는 이스트소프트가 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)에서 정한 개인정보 보호조치 규정(접근통제)을 위반했다고 판단, 이 같은 제재를 결정했다는 설명이다.
다만 알패스 서비스가 무료 제공돼 매출을 가늠키 어려워 4억원 이하의 정액으로 과징금을 산정하는 방식을 택했다.
김재영 방통위 이용자정책국장은 "이번 사안의 중대성 정도를 고려해 기준금액은 2억8천만원을 상정했다."라며, "최근 3년간 정보통신망법 위반 등으로 과징금을 받은 적이 없고, 조사에 성실히 임한 점 등을 감안해 과징금을 감경해 1억1천200만원과 총 1천만원의 과태료를 부과하는 것으로 결론 내렸다"고 설명했다.
◆보안기업 자질이 의심, 날선 비판 이어져
"보안업체가 이런 일(개인정보 유출)이 있는 것은 놀라운 일이다. 있어서는 안될 일이 일어났다."
의결안건을 보고 받은 이효성 방통위원장의 첫 마디다. 방통위 상임위원들은 이스트소프트가 국내 널리 알려진 보안업체임에도 불구하고 개인정보 유출이라는 중대한 사건이 발생한 점에 대해 안타까움을 드러냈다.
다만 ▲이스트소프트가 첫 유출사고 당시 방통위에 신고하지 않은 점 ▲알패스가 개인정보를 다루는데도 불구하고 개인정보시스템이 아니기 때문에 정보통신망법에 저촉되지 않는다고 소명한 점 ▲2차 피해가 크게 확산될 수 있음에도 침입차단 무료 소프트웨어를 설치하고 보안대응책을 구비했다고 설명한 점 등 3가지 지점에서 날 선 비판이 이어졌다.
허욱 방통위 부위원장은 "이스트소프트가 알약 등 백신을 제공하는 보안 소프트웨어 업체로 개인정보 위반에 적극 방어하고 있다고 생각하나 해명에 있어서는 설득력이 떨어진다"며, "알패스 등에는 외부 사이트 아이디와 비번이 저장돼 있어 이를 통한 2차 피해가 있었고, 개인정보 시스템이 아니라고 항변하는 것도 수용키 어렵다"고 지적했다.
이어 "칩입 차단 무료 소프트웨어를 설치함으로써 자기의 보안 의무를 다했다고 하는 것은 경영진의 부족한 개인정보보호에 대한 생각으로 보안기업으로써의 자질을 의심케 한다"고 강조했다.
고삼석 상임위원 역시 이스트소프트의 안일한 대응을 문제삼았다.
고 위원은 "대표 보안 기업이 개인정보가 유출되고 그에 대한 대응이나 소명은 상당히 실망스럽다"라며, "이런 업체가 개인정보 유출과 관련해 조사를 받고 제재 대상이 된다면 일반 국민의 유출 우려가 더 크게 느껴진다"고 강한 어조로 강조했다.
표철수 상임위원도 사안의 엄중함을 따져 원안대로 처리될 것을 요구했다.
실제로 이스트소프트가 이용자들에게 제공하는 알패스는 외부사이트의 아이디, 비밀번호를 관리해주는 서비스로 보관 중인 정보가 수천만 건에 이른다. 이용자의 비밀정보, 민감한 정보, 금전적 피해를 줄 수 있는 정보를 해커가 취득하는 경우 이용자에게 심각한 2차 피해가 발생할 수 있다. 다른 서비스보다 보안을 강화할 필요가 있다.
방통위의 이번 조치는 개인정보 보호조치 규정을 준수하지 않아 발생한 취약점이 이번 해킹에 직·간접적으로 악용된 점, 피해규모가 크고 유출된 개인정보를 활용한 대포폰 개설, 서버 임대 등 이용자 추가 피해가 확인된 점 등을 종합적으로 고려해 내린 결론이다.
이 위원장은 "이용자를 가장한 해커의 웹페이지 공격이 성행함에 따라 이에 따른 피해를 예방할 수 있도록 정보통신서비스제공자의 보안을 강화할 필요가 있고, 이용자들도 서비스 이용 시 비밀번호 관리에 각별히 유념해야 한다"며, "방통위는 온라인 분야의 개인정보 보호를 위해 노력할 것이며, 관련 사업자에 대한 점검을 강화해 나가겠다"고 말했다.
/김문기기자 moon@inews24.com