개보위 “블랙야크, 34만 명 개인정보 유출로 과징금 13억”

의류 브랜드 ‘블랙야크’ 운영사가 34만여 명의 개인 정보를 유출해 13억 원이 넘는 과징금을 물게 됐습니다.

개인정보보호위원회는 오늘(10일), 개인정보 보호 법규를 위반한 주식회사 ‘비와이엔블랙야크’에 13억 9,100만 원의 과징금을 부과했다고 밝혔습니다.

개인정보위 조사 결과, 비와이엔블랙야크는 지난 3월 해커의 에스큐엘(SQL·데이터베이스 명령어) 삽입 공격을 받고 웹사이트 관리자 계정 아이디와 비밀번호가 유출된 것으로 드러났습니다.

이후 해커는 관리자 페이지에 접속해 이용자 34만 2,253명의 이름과 성별, 휴대전화 번호와 주소 일부 등을 빼돌린 것으로 확인됐습니다.

개인정보위는 “비와이엔블랙야크는 2021년 웹사이트 개설 시점부터 SQL 공격 취약점을 제대로 점검하지 않았고, 재택근무 등을 이유로 관리자 페이지의 외부 접속을 허용하면서도 아이디와 비밀번호 외에 추가 인증 수단을 설정하지 않았다”고 지적했습니다.

한편, 동영상 강의 등 온라인 교육 콘텐츠를 제공하는 ‘한국토픽교육센터’도 8만 4천여 명의 개인 정보가 유출돼 과징금 2,300만 원을 물게 됐습니다.

개인정보위는 지난해 3월, 비슷한 수법으로 한국토픽교육센터 웹사이트를 공격한 해커가 데이터베이스에 있던 이용자 8만 4천여 명(중복 포함)의 이름과 연락처, 전화번호 등을 탈취해 텔레그램에 공개했다고 밝혔습니다.

이때 아이디와 비밀번호도 함께 유출됐지만, 비밀번호 자체는 암호화된 상태였던 것으로 확인됐습니다.

그러나 한국토픽교육센터 측은 유출 사실을 확인하고도 72시간 안에 신고하지 않은 것으로 드러나, 과태료 270만 원도 함께 물게 됐습니다.

개인정보위는 “재택근무 등이 많아지면서 관리자 계정의 외부 접속을 허용하는 사례가 크게 늘고 있다”며 “아이디와 비밀번호 외에 추가 인증 수단 적용이 어느 때보다 중요하다”고 지적했습니다.

그러면서 SQL 삽입 공격은 널리 알려진 기본적 해킹 수법임에도 보안 조치가 소홀한 경우가 많다며 주의를 당부했습니다.

[사진 출처 : 연합뉴스 / 개인정보보호위원회 제공]