금융기관ㆍ인터넷몰 등서 1230만건유출… 대출·통신판매 등에 쓰여
KT의 1200만건 정보유출 사태가 터진지 일주일도 채 되지 않아 이 회사를 포함한 통신3사와 금융기관, 인터넷쇼핑몰 등에서 가입자 정보 1230만건이 또 유출됐다. 통신 판매점 등의 허술한 개인정보 관리 실태도 드러나 충격을 주고 있다.
11일 부산남부경찰서는 개인정보 1230만건을 판매ㆍ유통하고 이를 구매해 불법 사용한 일당 18명을 입건했다고 밝혔다. 유출된 정보는 통신사와 금융기관, 여행사 홈페이지, 인터넷 쇼핑몰, 불법 도박사이트 등에서 흘러나갔으며 대출ㆍ대부 등의 금융영업, 휴대폰ㆍ초고속인터넷 등의 통신판매, 업체 광고 등에 사용됐다고 경찰은 밝혔다.
특히 경찰은 통신 가입자를 유치하는 판매점에서 고객정보를 보관하고 있다가 해커가 대리점의 취약한 보안망을 뚫고 정보를 빼 내갔다며 통신 영업망의 보안 취약점을 지적했다.
실제로 업계는 일부 대리점이나 판매점이 수집한 개인정보를 약정 만료시 영업에 활용하거나 혹은 불법적으로 판매할 목적으로 폐기하지 않고 보관하는 경우가 있다고 지적한다.
한 업계 관계자는 "이용자가 작성한 가입계약서 등을 팩스를 보내는 척 하면서 보관하거나, 전산입력 과정에서 별도 엑셀 파일 등을 만들어 놓는 등의 수법으로 개인정보를 불법 보관하기도 한다"고 지적했다.
판매점을 통한 가입자 유치가 계속되는 한 구조적으로 정보보호를 할 수 없다는 지적도 나온다. 통신사 고객정보 DB를 열람할 수 있는 권한은 대리점에게만 주어지며 판매점은 개통을 하려면 해당 대리점에 와서 고객 정보를 입력하고 개통을 해야하는 것이 원칙인데, 이를 지키는 경우는 드물다는 것이다.
또 다른 업계 관계자는 "판매점이 (통신사에서 발급한)대리점 ID를 갖고 통신사 고객정보 DB에 접속해 열람하는 등 대리점의 권한을 그대로 수행하는 경우가 허다하다. 통신사도 가입자 유치를 위해 이를 눈감아주고 있다"고 꼬집었다.
정작 통신사는 `책임 없다`는 입장을 고수하고 있다. 정보유출 사고가 터진 이날도 통신사들은 "판매점에게 개인정보 관리에 대한 서약서를 요구하고, 정기적으로 교육을 진행하지만 직접적인 관리가 불가능하다"는 기존 입장을 되풀이했다.
정통망법 제25조 개인정보의 취급위탁 조항에 따르면 정보통신서비스 제공자(통신사) 등은 수탁자가 규정을 위반하지 않도록 관리ㆍ감독해야 한다. 그런데 통신사는 직접 계약을 맺는 대리점과 달리 판매점은 계약관계가 없기 때문에 법적 책임이 없다는 논리다.
이에 대해 김경환 법률사무소 민후 대표변호사는 "법적으로 보면 판매점이 독립 사업자로써 대리점과 달리 통신사 관할이 아닌 것은 맞다"면서도 "하지만 통신사가 사실상 판매점 설립 여부까지 허가할 정도로 사업에 긴밀하게 관여하고 있기에 정보보호 역시 마음만 먹으면 매일, 매시간 관리하는 보조금 정책처럼 관리할 수 있음에도 그만큼 노력을 하지 않고 있는 것으로 보인다"고 비판했다.
강은성ㆍ박지성기자 esther@
11일 부산남부경찰서는 개인정보 1230만건을 판매ㆍ유통하고 이를 구매해 불법 사용한 일당 18명을 입건했다고 밝혔다. 유출된 정보는 통신사와 금융기관, 여행사 홈페이지, 인터넷 쇼핑몰, 불법 도박사이트 등에서 흘러나갔으며 대출ㆍ대부 등의 금융영업, 휴대폰ㆍ초고속인터넷 등의 통신판매, 업체 광고 등에 사용됐다고 경찰은 밝혔다.
특히 경찰은 통신 가입자를 유치하는 판매점에서 고객정보를 보관하고 있다가 해커가 대리점의 취약한 보안망을 뚫고 정보를 빼 내갔다며 통신 영업망의 보안 취약점을 지적했다.
실제로 업계는 일부 대리점이나 판매점이 수집한 개인정보를 약정 만료시 영업에 활용하거나 혹은 불법적으로 판매할 목적으로 폐기하지 않고 보관하는 경우가 있다고 지적한다.
한 업계 관계자는 "이용자가 작성한 가입계약서 등을 팩스를 보내는 척 하면서 보관하거나, 전산입력 과정에서 별도 엑셀 파일 등을 만들어 놓는 등의 수법으로 개인정보를 불법 보관하기도 한다"고 지적했다.
판매점을 통한 가입자 유치가 계속되는 한 구조적으로 정보보호를 할 수 없다는 지적도 나온다. 통신사 고객정보 DB를 열람할 수 있는 권한은 대리점에게만 주어지며 판매점은 개통을 하려면 해당 대리점에 와서 고객 정보를 입력하고 개통을 해야하는 것이 원칙인데, 이를 지키는 경우는 드물다는 것이다.
또 다른 업계 관계자는 "판매점이 (통신사에서 발급한)대리점 ID를 갖고 통신사 고객정보 DB에 접속해 열람하는 등 대리점의 권한을 그대로 수행하는 경우가 허다하다. 통신사도 가입자 유치를 위해 이를 눈감아주고 있다"고 꼬집었다.
정작 통신사는 `책임 없다`는 입장을 고수하고 있다. 정보유출 사고가 터진 이날도 통신사들은 "판매점에게 개인정보 관리에 대한 서약서를 요구하고, 정기적으로 교육을 진행하지만 직접적인 관리가 불가능하다"는 기존 입장을 되풀이했다.
정통망법 제25조 개인정보의 취급위탁 조항에 따르면 정보통신서비스 제공자(통신사) 등은 수탁자가 규정을 위반하지 않도록 관리ㆍ감독해야 한다. 그런데 통신사는 직접 계약을 맺는 대리점과 달리 판매점은 계약관계가 없기 때문에 법적 책임이 없다는 논리다.
이에 대해 김경환 법률사무소 민후 대표변호사는 "법적으로 보면 판매점이 독립 사업자로써 대리점과 달리 통신사 관할이 아닌 것은 맞다"면서도 "하지만 통신사가 사실상 판매점 설립 여부까지 허가할 정도로 사업에 긴밀하게 관여하고 있기에 정보보호 역시 마음만 먹으면 매일, 매시간 관리하는 보조금 정책처럼 관리할 수 있음에도 그만큼 노력을 하지 않고 있는 것으로 보인다"고 비판했다.
강은성ㆍ박지성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
