인터넷상 노출돼 악용되거나 불법유통 중인 개인정보나 관련 게시물 등을 신속히 탐지·삭제·차단하는 온라인 대응체계가 강화된다. 이를 위해 인공지능(AI) 등 신기술을 접목하고, 인터넷서비스사업자(ISP) 및 경찰청 등 유관기관과 협업·협력체계를 갖춘다.
개인정보보호위원회가 이 같은 내용을 담은 '개인정보 노출·불법유통 대응 강화방안'을 24일 발표했다. 그간 개인정보 유출 사고 발생이 명의도용·스팸·스미싱 등 범죄·불법행위로 이어져 사회적 우려가 커짐에 따라, 온라인상 개인정보 노출·불법유통을 최소화함으로써 국민의 2차 피해를 예방하기 위해 마련한 대책이다.
먼저, 개인정보 노출 탐지·대응 체계를 고도화한다. 개인정보 노출·불법유통 형태가 단순 텍스트 중심에서 이미지·영상으로 바뀌는 추세를 반영, 기존 키워드 기반 탐지 방식에 AI 방식을 접목한다. 470만여개 국내·외 웹사이트에 노출된 개인정보를 효과적으로 탐지할 수 있는 대화형태의 검색어를 개발해 적용할 방침이다.
정형화된 정보(텍스트) 중심 탐지에서 주민등록번호·전화번호 등이 포함된 이미지 정보까지 탐지대상을 확대하고, 향후에는 딥페이크 확산 등에 대응해 얼굴 등 영상에 포함된 개인정보도 탐지·삭제할 수 있도록 탐지 시스템을 단계적으로 고도화해나갈 예정이다.
다크웹에 유출된 정보 등에 대해 '털린 내정보 찾기' 서비스 조회 범위를 현행 계정정보에서 이메일·전화번호 등으로 확대하고, 인터넷침해대응센터(KISC) 등과 다크웹 모니터링 정보 공유하는 등 공조체계를 공고히 한다. 개인정보처리자가 유출 초기에 신속 대응할 수 있도록 통지·신고 안내도 강화한다.
개인정보노출·불법유통 게시물 신속 차단 조치에 나선다. 국내외 주요 포털과 소셜미디어(SNS) 15개 사업체로 구성된 핫라인 협력체계도 활용한다. 사업체 특성별 대응조치 체계화와 탐지 분류모델 고도화로 불법유통 게시물 삭제에 걸리는 기간을 작년 평균 24.8일에서 내년 18.9일까지 단계적으로 단축해나갈 예정이다. AI학습과정에서 온라인상 노출된 개인정보가 제외되도록 개인정보위가 확보한 노출데이터를 오픈AI·구글·메타 등과 정기적으로 공유한다.
개인정보 불법유통 상습 매매자 단속을 강화한다. 개인정보가 포함된 대출 데이터베이스(DB) 등 불법매매를 근절하기 위해 개인정보 불법유통을 전담 수사하는 경찰청과 더욱 긴밀하게 공조한다. 개인정보위·한국인터넷진흥원(KISA)은 불법거래 게시물을 프로파일링해 수사과정에 필요한 맞춤형 데이터를 생성·제공하고, 수사기관은 검거에 활용함으로써 상습매매자에 대해 신속 대응한다.
개인정보 노출 등 방지 실태점검 강화에도 나선다. 지난 9월 공공기관에 대한 안전조치 의무 강화에 따라 관리수준 평가결과가 미흡한 취약 공공기관을 집중 점검하고, 공공기관의 법 위반행위 공표 기준을 확대한다. 또한, 신산업·신기술 등 산업·사회의 변화를 반영하여 중장기 조사 로드맵을 수립하고, 내년 '디지털 포렌식랩'을 구축해 유출사고의 로그·메타데이터 등 디지털 증거를 신속히 확보할 계획이다. 이밖에 국민 참여 및 대응 기반도 다진다. 모든 개인정보처리자가 노출여부를 자체적으로 점검하는 캠페인을 운영하는 한편, 중소·영세 사업자의 노출 발생·재발 방지를 위해 교육과 컨설팅·기술지원을 확대한다. 반복·대량 노출 발생 사업자에게는 취약점 보완을 지원해나간다. 국민이 개인정보 침해의 위험성을 인식하고 스스로 보호 활동에 동참하는 문화를 조성하기 위해 연말까지 다양한 행사를 추진할 예정이다.
개인정보위는 "AI·데이터 경제 시대를 맞아 데이터의 핵심을 이루는 개인정보의 노출과 불법유통 등 악용 방지를 통해 국민 신뢰 기반의 안전한 디지털 이용환경이 조성될 수 있도록 최선을 다할 방침"이라고 전했다.
한편 전날 개인정보위 전체회의에선 개인정보보호 법규를 위반한 네오팜, 일학 2개 온라인 쇼핑몰 사업자에 대한 제재도 의결됐다. 네오팜에 과징금 1억517만원과 과태료 720만원을, 일학에 과징금 1800만원과 과태료 360만원을 부과했다.
먼저 네오팜의 경우 해커가 사전에 획득한 해당 쇼핑몰 관리자 계정 정보를 통해 웹 관리자 페이지에 접속, 쇼핑몰 전체 회원인 29만3723명의 개인정보를 탈취했다. 지난해 8월 약 2주 동안 750여회 접근해 회원정보를 조회하고 내려받았으며 약 44만 건의 불법문자도 발송했다.
웹 관리자 페이지가 추가 인증수단 없이 아이디와 비밀번호만으로 로그인되도록 했고 접속 가능한 IP주소 등을 제한하지 않는 등 안전조치의무를 위반해 대규모 유출로 이어졌다. 개인정보취급자별로 계정을 부여하지 않고 부서별로 계정을 공유하는 등 접근권한에 대한 관리도 소홀히 했고, 유출된 이용자 대상으로 개인정보 유출 통지를 지연한 사실도 확인됐다.
또한 일학의 경우 지난해 12월 이틀간 해커의 SQL삽입공격을 받아 개인정보가 유출됐다. 해커는 해당 쇼핑몰 게시판에 1만명의 개인정보를 게시하기도 했다. 마찬가지로 웹 관리자 페이지에 로그인 시 안전한 인증수단을 적용하지 않았고, 외부로부터 불법적인 접근을 방지하기 위한 침입 탐지·차단 시스템 운영도 부실했다. SQL삽입공격을 예방하기 위한 이용자 입력값 검증절차 부재, 비밀번호 암호화 미조치 등 안전조치의무도 위반한 것으로 확인됐다.
개인정보위는 "웹사이트를 통해 서비스를 제공하고 개인정보를 처리하는 사업자는 회원DB와 연동된 웹 관리자 페이지 운영 시 개인정보취급자 계정 관리, 보안 취약점에 대한 점검 등을 주기적으로 실시해야한다"며 "SQL 삽입 공격처럼 잘 알려진 웹 취약점 공격에 대해서는 적절한 보안조치 등 지속적인 주의가 필요하다"고 덧붙였다.팽동현기자 dhp@dt.co.kr
고학수 개인정보보호위원장이 지난 23일 정부서울청사에서 개최된 2024년 제17회 개인정보보호위원회 전체회의에서 의사봉을 두드리고 있다. 개인정보위 제공
