온라인 강의 플랫폼 클래스유는 2023년 8월부터 약 1년간 신원 미상의 해커가 관리자 계정을 탈취해 약 160만명의 개인정보가 담긴 데이터베이스에 무단 접근하도록 방치한 것으로 확인됐다. 해당 계정은 복수의 관리자가 공동으로 사용 중으로 IP 주소 제한이나 이상 로그인 시도에 대한 탐지·차단 조치가 이뤄지지 않았다.
조사 결과 클래스유는 주민등록번호와 계좌번호를 암호화하지 않고 저장했고, 처리 목적이 끝난 신분증 사본을 파기하지 않은 채 보관한 사실도 드러났다. 유출 사실 역시 72시간 이내에 이용자에게 통지하지 않아 관련 법령을 위반했다는 판단이다.
위원회는 이 같은 위반사항 6건을 종합해 과징금 5360만원과 과태료 720만원을 부과하고, 시정명령과 공표 조치를 의결했다. 다만 위원회는 클래스유의 재무 상황을 고려해 과징금 규모를 감경했다고 설명했다.
KT알파의 경우 지난해 1월 말부터 2월 초 사이 기프티쇼 웹사이트에 크리덴셜 스터핑 공격이 시도돼 약 9만8000건의 계정 로그인이 성공했고 이 중 51건은 개인정보가 포함된 웹페이지에 실제 접근이 이뤄졌다.
크리덴셜 스터핑 공격은 사전에 확보한 다수의 아이디, 비밀번호 정보를 무차별 대입해 접속(로그인)을 시도하는 공격 방식으로, 로그인 시도 횟수와 로그인 실패율이 급증하는 특징을 보인다.
해커는 총 4305개의 IP를 동원해 546만건 이상의 로그인을 시도했고, 일부 계정에서는 무단 포인트 사용 등 2차 피해로 이어졌다. 위원회는 KT알파가 과도한 로그인 시도에 대한 차단 정책을 마련하지 않았고, 유출 사실도 24시간 내 신고하지 않아 법령을 위반했다고 판단했다. 다만 KT알파가 개인정보가 포함된 화면에 마스킹 조치를 미리 적용한 점을 고려해 과징금 491만원과 과태료 690만원을 부과하는 데 그쳤다.
개인정보위는 "시스템 접근 통제와 이상행위 탐지 정책을 강화하고, 개인정보가 포함된 화면에는 마스킹 등의 조치를 적용해 피해를 최소화해야 한다"며 "향후에도 안전조치 위반과 유출 통지 의무 미이행 등 법 위반 행위에 대해 엄정하게 조치하겠다"고 밝혔다.
유진아기자 gnyu4@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
