'고객정보 대량유출' 빗썸·여기어때·하나투어 재판 간다
입력
수정
서울동부지검 사이버수사부(김태은 부장검사)는 이들 3개 회사 법인과 개인정보 관리 책임자들을 각각 정보통신망법 위반 혐의로 불구속 기소했다고 19일 밝혔다.검찰은 기술적·관리적 보호조치를 소홀히 해 피해를 야기했다는 이유로 당시 빗썸 감사였던 실운영자 A(42)씨, 여기어때 부사장 B(41)씨, 하나투어 본부장 C(47)씨 등을 재판에 넘겼다.
빗썸은 2017년 직원의 개인용 PC가 악성 코드에 해킹당하면서 PC에 저장돼 있던 고객 개인정보 파일 3만1000건이 유출됐다.
유출된 정보에는 고객 이름과 전화번호뿐 아니라 암호화폐 거래내역도 포함됐으며, 해커는 이를 이용해 고객 보유 암호화폐 70억원가량을 빼돌렸다.검찰은 빗썸 측이 고객 정보를 암호화하지 않은 채로 개인 PC에 저장하고, 악성 프로그램을 방지할 수 있는 백신을 설치하지 않는 등 개인정보 유출 책임이 있다고 판단했다.
동일 IP에서의 과다 접속 등 비정상적인 접속이 계속됐음에도 차단조치를 하지 않았다고 법원은 지적했다.
'여기어때'에서는 같은 해 마케팅센터 웹페이지가 해킹돼 숙박 예약정보 323만건, 고객 개인정보 7만건가량이 유출됐다. 당시 유출된 숙박 이용내역을 악용돼 협박·음란문자 4000여건이 발송됐다.검찰은 "웹페이지의 해킹 취약점을 점검하거나 공격을 예방하는 등의 조치를 이행하지 않았다"며 외부 접속 IP를 제한하는 조치나 해킹 탐지를 위한 모니터링 조직·인력을 배치하지 않은 책임을 물었다.
하나투어도 보호조치 위반 혐의를 적용했다. 하나투어는 전산망이 해킹돼 고객 46만여명과 임직원 3만명가량의 개인정보가 유출됐다.
검찰은 "외부에서 개인정보처리 시스템에 접속할 때 아이디나 비밀번호 이외에 일회용 비밀번호 생성기(OTP)·인증서·보안토큰 등 인증수단을 추가로 거치도록 조치해야 함에도 이를 지키지 않았다"고 설명했다.또 시스템 접속이 가능한 관리자 권한의 아이디와 패스워드가 암호화되지 않은 형태로 외주업체 직원의 개인 노트북 등에 메모장 파일 형태로 노출돼 있었던 점도 지적했다.
검찰은 "개인정보 유출 사범은 물론 개인정보처리 기업의 보호조치 의무 위반에 대해서도 철저히 수사하고 엄정 처분할 예정"이라고 말했다.
이에 대해 빗썸은 "개인정보 유출은 암호화폐 탈취와 무관하다"며 "관계기관 신고, 시스템 정비 등 사후조치도 즉각 이행했다"고 해명했다.
한경닷컴 뉴스룸 open@hankyung.com