밀폐용기 등 플라스틱 제품 제조사 락앤락이 약 130만명의 회원 개인정보를 유출해 5억원대 과징금을 물게 됐다.

개인정보보호위원회는 전날 열린 제13회 전체회의에서 개인정보가 유출된 락앤락에 과징금 5억300만원과 과태료 540만원을 부과했다고 9일 밝혔다. 개보위는 처분 사실을 각사 홈페이지에 공표하도록 의결했다.

개보위 조사결과, 해커는 2024년 4월 락앤락 메일 서버의 보안 취약점을 악용해 내부 시스템에 침입한 뒤 같은 해 5월 말 회원 데이터베이스(DB)를 유출했다. 같은 해 11월에도 내부 시스템에 재침입해 업무자료와 임직원 개인정보를 추가로 유출했다.

해킹으로 약 130만명의 개인정보(이름·휴대전화번호·주소 등)와 1111건의 임직원 개인정보(주민등록증·운전면허증·통장 사본 등)가 외부로 빠져나간 것으로 파악됐다. 락앤락은 유출 과정에서 발생한 비정상적인 대용량 트래픽을 제대로 탐지·대응하지 못해 해커의 협박메일을 받고 뒤늦게 유출 사실을 인지했다.

락앤락은 2022년 공개된 보안 취약점을 업데이트하지 않고, 주요 서버 관리자 계정에 동일한 비밀번호를 적용하는 등 안전조치 의무도 다수 위반한 것으로 확인됐다. 또 임직원 개인정보 및 폐점 매장 구매자 정보(4만9466건)를 파기하지 않은 사실도 적발됐다.

개보위는 이날 1852명의 개인정보가 유출된 콜센터 아웃소싱 기업 유베이스에도 과징금 1억6800만원과 공표명령을 부과했다. 유베이스는 외부에서 관리자 페이지 접속이 가능하도록 운영하고, 안전한 인증수단도 따로 마련하지 않은 것으로 조사됐다. 17만명의 개인정보가 유출된 사진·영상장비 판매업체 썬포토에도 과징금 3000만원이 부과됐다.

개보위는 “최근 개인정보처리시스템에 대한 접근통제 미흡, 안전한 인증수단 미적용 등 기본적인 안전조치 소홀로 유출 사고가 지속 발생하고 있다”면서 “개인정보처리시스템에 대한 접속권한을 인터넷 프로토콜(IP) 주소 등으로 제한하고, 외부에서 접속이 필요할 경우 추가 인증 수단을 적용해야 한다”고 당부했다.