개인정보 유출된 호텔스컴바인·머니투데이방송에 과징금

호텔스컴바인, 예약 플랫폼 설계 허점으로 카드정보 등 탈취
머니투데이방송, SQL 인젝션 대비 허점

호텔스컴바인과 머니투데이방송이 개인정보보호 법규 위반으로 처벌받게 됐다.

개인정보보호위원회는 지난 26일 제11회 전체 회의를 열고 호텔스컴바인과 머니투데이방송에 대해 과징금 및 과태료를 부과하기로 의결했다고 27일 발표했다.

호텔스컴바인은 2013년 호텔 예약플랫폼을 개발하면서 예약정보와 카드 정보까지 조회할 수 있는 계정을 추가 생성할 수 있도록 시스템을 잘못 설계한 것으로 드러났다. 해커가 피싱 수법으로 아이디, 패스워드를 탈취해 호텔스컴바인 시스템에 접속해 카드 정보까지 접근할 수 있는 계정을 생성했다. 그 결과 한국 이용자 1246명의 이름, 이메일 주소, 호텔 예약정보, 카드 정보가 유출됐다. 이 회사는 유출 통지와 신고를 뒤늦게 한 사실도 확인됐다. 개인정보위는 9450만원의 과징금과 1600만원의 과태료를 부과하고 처분 결과를 위원회 홈페이지에 공표하기로 했다.

머니투데이방송은 운영 중이던 광고 공모전 사이트가 해커의 SQL 인젝션 공격을 받았다. 그 결과 2022년 9월 관리자 계정과 13만여건의 회원 개인정보가 유출됐다. 이 업체는 SQL 인젝션 공격 방지를 위한 입력값 검증 등의 조치를 일부 누락하고, 개인정보취급자가 아이디, 패스워드만으로 외부에서 관리자 페이지에 접속할 수 있도록 운영하는 등 안전조치 의무를 준수하지 않았다. 탈퇴한 회원의 정보를 파기하지 않고 보관한 사실과 개인정보 유출 통지를 지연한 사실도 확인됐다. 개인정보위는 6778만원의 과징금과 1140만원의 과태료를 부과하기로 했다.

이승우 기자 leeswoo@hankyung.com