개인정보 유출로 물의를 빚은 LG유플러스에 68억원의 과징금이 부과됐다.

개인정보보호위원회(개인정보위)는 12일 전체 회의를 열고 개인정보 유출 사고가 발생한 LG유플러스에 대해 과징금 68억원과 함께 과태료 2700만원을 부과했다. 전반적인 시스템 점검 및 취약 부분 개선 등 재발 방지를 위한 시정조치도 의결됐다.

지난 1월 불법 거래 사이트에 LG유플러스 이용자의 개인정보를 판매한다는 글이 게재됐다. 개인정보위는 민관합동조사단·경찰 등과 함께 이에 대한 조사를 진행해 왔다.

개인정보위와 한국인터넷진흥원(KISA)이 분석한 결과, 유출이 확인된 개인정보는 29만7117건(중복 제거시)이다. 유출 항목은 휴대 전화번호, 성명, 주소, 생년월일, 이메일주소, 아이디, USIM 고유번호 등 26개 항목이다. 데이터는 고객인증시스템에서 지난 2018년 6월 유출된 것으로 분석·확인됐다. 고객인증시스템은 LG유플러스 일부 부가 서비스 제공 과정에서 고객인증과 부가서비스 가입·해지 기능을 제공하는 시스템이다.

개인정보위에 따르면 LG유플러스는 조사가 시작된 지난 1월까지 고객인증시스템의 서비스 운영과 보안 환경이 불법침입에 매우 취약한 상황이었다. 유출이 발생된 것으로 추정되는 2018년 6월 기준으로 고객인증시스템에 사용된 운영체제·DB 관리시스템·웹서버 등 상용 소프트웨어 대부분이 단종되거나 기술 지원이 종료된 상태였다. 또한 방화벽과 침입방지 시스템, 웹방화벽 등 기본적 보안장비가 설치되지 않았거나 보안정책이 제대로 적용되지 않았다. 심지어 지난 2009년과 2018년 업로드된 악성코드가 지난 1월까지 삭제되지 않고 남아있었다.

데이터 방치도 문제로 지적됐다. 지난 2008년 생성된 정보 등 1000만건 이상의 개인정보가 조사 시점까지 남아있었다. 개인정보보호법 21조에는 ‘개인정보가 불필요하게 됐을 때에는 지체 없이 그 개인정보를 파기해야 한다’고 규정하고 있다. 일부 법에 따라 해지 고객의 정보는 최대 5년~10년까지 보관가능하다. 그러나 이를 넘어 15년 가까이 보관하고 있던 것이다.

다량의 개인정보를 관리하면서도 개인정보 취급자의 접근권한과 접속 기록을 제대로 관리하지 않은 문제도 있다. 대규모 개인정보를 추출‧전송한 기록을 남기지 않고 비정상 행위 여부에 대한 점검‧확인이 안 되는 등 관리 통제도 부실한 상황이었다.

개인정보위는 “LG유플러스는 다수 국민의 개인정보를 처리하는 유·무선 통신사업자로서 엄격한 개인정보 관리가 요구됨에도 불구, 전반적인 관리 부실과 타사 대비 현저히 저조한 정보보호·보안 관련 투자와 노력 부족이 부족했다”며 과징금 등 부과 이유를 설명했다.

이와 함께 LG유플러스에 대해 개인정보보호책임자(CPO)의 역할과 위상 강화, 개인정보 보호 조직의 전문성 제고, 개인정보 내부관리계획 재정립, 전반적인 시스템 점검 및 취약요소 개선 등을 시정명령하기로 했다. 또한 개인정보 보호 관련 각종 투자와 2차 피해 방지 대책을 차질 없이 이행할 것을 당부했다.

LG유플러스는 재발 방지를 위해 사이버 보안 강화를 약속했다. LG유플러스는 같은 날 “상반기 사이버 보안에 약 640억원을 집행했다”고 밝혔다. 지난 2월 정보보호 투자 규모를 기존 대비 3배 이상인 1000억원으로 늘리겠다고 발표한 지 4달 만이다.

구체적인 집행 내역을 살펴보면 취약성 점검 약 200억원, 통합모니터링 관제 약 196억원, 보안 이프라 투자 약 172억원 등이다. 이밖에도 △정보보호 전담 인력 강화 △보안 조직 확대·개편 △최고정보보호책임자(CISO) 영입 △‘정보보호자문위원회’ 신설을 통한 보안 검증 체계 강화 △인재 육성을 위한 숭실대학교 연계 정보보호학과 운영 등을 추진 중이다.

이소연 기자 soyeon@kukinews.com