이는 2021년 1월 이전부터 북한 정찰총국 산하 해커 조직 라자루스가 사법부 전산망에 침입해 내부문서를 빼돌려온 사건에 대한 후속조치다. 이에 대한 경찰과 국가정보원 등의 합동 수사 결과가 지난해 5월 발표된 바 있다.
법원행정처는 이용상 편의를 위해 내부망-외부망 간 상호 접속이 가능하도록 포트를 개방·운영했다. 이로써 포트를 통해 침입한 해커에 의해 내부망 전자소송 서버(스토리지)에 저장된 다량의 소송 관련 문서(자필 진술서, 혼인관계증명서, 진단서 등)가 포함된 1014GB 분량의 데이터가 유출됐다.
이 중 경찰 수사결과 복원이 이뤄진 4.7GB의 파일을 분석한 결과, 해당 데이터 내 1만7998명의 개인정보가 확인됐다. 구체적으로는 주민등록번호 2010명, 이름 1만5000명, 생년월일 2300명, 연락처 2000명, 주소 4200명과 그 외 나이 및 성별 등이다. 731종의 1만89개 소송 관련 문서 등의 유출이 파악됐다.
강대현 개인정보위 조사총괄과장은 이날 브리핑에서 "개인정보보호법 개정 전 발생한 사건이라 구법이 적용됐다"며 공공기관 대상 구법 적용 사례 중엔 가장 높은 과징금"이라고 설명했다.
이어 "국내외 8개 서버를 통해 유출된 1014GB 중 대부분 삭제돼, 그 0.46%가량인 4.7GB만 확인 가능했다"며 "소송 문서라 그 형태에 따라 개인정보가 얼마나 포함되는지 다르겠지만, 평균적으로 따지면 현재 밝혀진 것보다 250배 이상 유출됐을 가능성도 배제할 수는 없다"고 덧붙였다.
조사 결과, 법원행정처는 소송 관련 문서(PDF 파일로 변환)를 전자소송 서버(스토리지)에 저장·보관하면서 주민등록번호가 포함된 소송문서를 암호화하지 않았다. 또 인터넷 액티브디렉토리(AD) 서버 관리자 계정과 인터넷 가상화PC 취급자 계정의 비밀번호를 유추하기 쉬운 해당 계정의 초기 비밀번호를 그대로 사용했다. 내부망에 위치한 '인터넷가상화웹서버'에 백신 소프트웨어 등 보안프로그램을 설치하지 않고 운영하는 등 기본적인 안전조치도 미흡했다.
아울러 법원행정처는 2023년 2월 악성파일을 탐지하고 침해사고 자체조사를 진행해 동년 4월에 법원 전산망에서 개인정보가 유출된 정황을 인지했음에도 그 한참 뒤인 동년 12월에야 개인정보 유출 신고를 하고 홈페이지에 유출 관련 안내문을 게시했다.
이에 따라 개인정보위는 법원행정처에 과징금·과태료를 부과하며 관련 내용을 공표하는 한편, 개인정보처리시스템 운영체계 및 조직·인력, 관련 규정 등 보호체계 전반에 걸쳐 안전조치 실태를 점검하고 개인정보 보호조치 수준 향상 방안을 마련하도록 개선권고했다.
강 과장은 "대량의 개인정보를 처리하고 있는 공공기관들이 보안 프로그램 설치·운영이나 각종 운영체제 등에 대한 보안 업데이트 등 안전조치와 관련된 의무사항을 반드시 이행하는 한편, 외부의 불법접근 시도에 대해서도 상시 모니터링을 강화하는 등 각별한 주의를 당부한다"고 전했다.팽동현기자 dhp@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
