[하비엔뉴스 = 홍세기 기자] 골프존이 개인정보가 담긴 파일서버를 제대로 관리하지 않아 221만여명의 개인정보가 유출돼 국내 업체 가운데 역대 최대인 75억여원의 과징금을 부과받았다.
9일 개인정보보호위원회에 따르면, 지난 8일 열린 제8회 전체회의에서 골프존에 대해 안전조치의무 위반으로 과징금 75억400만원을, 개인정보 파기의무 미준수로 과태료 540만원을 부과하기로 의결했다.
 |
| 골프존. |
실내 스크린골프연습장 분야 업계 1위이자 스크린골프 전문 방송 등을 운영하는 골프존은 지난해 11월 해커에 의한 랜섬웨어 공격을 받았다.
랜섬웨어는 악성 소프트웨어로 데이터나 PC 등을 암호화한 뒤 이를 풀려면 보상을 요구하는 방식의 공격이다.
이 과정에서 해커는 알 수 없는 방법으로 골프존 직원들의 가상사설망 계정정보를 탈취해 업무망 내 파일서버에 원격 접속한 뒤 이곳에 저장된 파일을 외부로 유출했다. 이후 유출한 정보를 다크웹에 공개했다.
특히 업무망 내 파일서버에 보관됐던 221만여명의 서비스 이용자와 임직원 이름, 전화번호, 이메일, 생년월일, 아이디 등 각종 개인정보가 유출됐다. 또 5831명의 주민등록번호와 1647명의 계좌번호도 유출됐다.
개인정보위에 따르면, 골프존은 전 직원이 사용하는 파일서버에 주민등록번호를 포함한 다량의 개인정보가 저장돼 공유된다는 사실을 인지하지 못했을 뿐만 아니라, 파일서버에 대한 주기적인 점검을 소홀히 했던 것으로 드러났다.
골프존은 코로나19로 재택근무가 급증하던 시기에 새로운 가상사설망을 도입하면서 외부에서 내부 업무망에 아이디(ID)와 암호만으로 접속할 수 있도록 허용했다. 하지만 업무망 안에 존재하는 파일서버에 대해 개인정보 유출 관련 보안 위협을 검토하지 않았고, 필요한 안전조치도 취하지 않은 것으로 알려졌다.
이 때문에 외부에서 서버로의 원격 접속은 물론 서버간 원격 접속과 업무망 내 모든 서버의 인터넷 통신이 허용된 반면 개인정보 유출을 방지하기 위한 안전조치에는 소홀한 것이다.
이번 조사를 통해 골프존은 주민등록번호 등을 암호화하지 않은 채 파일서버에 보관했고, 보유기간을 넘기거나 처리 목적을 달성해 불필요해진 38만여명의 개인정보를 파기하지 않은 사실도 드러났다.
특히 지난해 11월 사고 발생 당시 골프존은 “랜섬웨어로 인한 서버 디스크 파손으로 골프존 웹과 앱, 점포 운영 사이트 등의 정상 운영에 어려움을 겪고 있다”며 회원들의 개인정보 유출을 부인한 바 있다. 이에 골프존이 개인정보 유출을 은폐한 것이 아니냐는 의혹도 제기됐다.
골프존 측은 “유출 사실을 몰랐다”며 “해킹 사실을 인지한 후에는 신속하게 개인정보위에 신고하고, 고객에게도 문자메시지로 이 사실을 알렸다”라고 해명했다.
한편 골프존은 9일 이번 사태에 대해 입장문을 내고 고객에게 사과했다.
골프존은 “이번 일로 고객분들에게 불편을 끼쳐드린 점 사과의 말씀을 드린다”며 “앞으로 좀더 개선된 서비스를 제공해 고객분들의 신뢰를 회복하도록 각고의 노력을 다하겠다”라고 밝혔다.
[ⓒ 하비엔뉴스. 무단전재-재배포 금지]
