“이미 한 번 당했는데”…회원정보 또 털린 SPC ‘해피포인트’에 과징금 15억

클릭하시면 더 큰이미지를 보실 수 있습니다 최장혁 개인정보보호위원회 부위원장이 12일 정부서울청사에서 열린 제3회 전체회의를 진행하고 있다. 개인정보보호위원회 제공

한 차례 해킹을 당해 7500여 명의 고객 개인정보가 유출됐음에도 불구하고 대책을 충분히 마련하지 않아 같은 방식으로 9700여 명의 개인정보가 유출된 ‘해피포인트’의 운영사가 십수억 대 과징금을 부과받았다.

개인정보보호위원회는 12일 제3회 전체회의를 열고 개인정보 보호법을 위반한 섹타나인에 과징금 14억7700만 원과 과태료 720만 원을 부과하고 이런 사실을 사업자 홈페이지에 공표하도록 명령했다고 13일 밝혔다.

클릭하시면 더 큰이미지를 보실 수 있습니다

섹타나인은 파리바게트, 베스킨라빈스 등 SPC 그룹 브랜드를 포함해 23개 브랜드 가맹점에서 이용 가능한 해피포인트 멤버십 서비스를 운영하는 SPC 그룹의 계열사다.

개인정보위는 개인정보 유출 신고를 접수해 조사를 실시, 섹타나인이 개인정보 보호법에 따른 안전조치 의무를 다하지 않았을뿐더러 유출 통지·신고를 지연한 사실을 확인했다고 밝혔다. 조사 결과에 따르면 섹타나인이 운영 중인 해피포인트 앱은 지난 2022년 10월 5~11일 사이 신원 미상의 해커로부터 해킹 공격을 받았다. 해커는 아이디와 비밀번호를 무차별 대입해 로그인을 시도하는 방식으로 총 7585명의 이름, 아이디, 성별, 생년, 해피포인트 카드번호 등 개인정보를 탈취했고, 이 가운데 일부 이용자의 해피포인트가 무단 사용되는 피해도 발생했다. 동일한 방식의 해킹 공격은 이듬해 10월 30일부터 11월 3일까지 다시 발생했고, 2차 해킹으로 9762명의 개인정보가 추가로 유출됐다.

이 과정에서 섹타나인은 고객정보 보호를 위한 충분한 조치를 하지 않았다. 해커는 무차별 대입 방식으로 해킹에 나섰는데, 동일 IP 주소에서 대규모 로그인 시도가 발생했음에도 섹타나인은 이런 비정상적 로그인 시도를 탐지·차단할 수 있는 대책을 마련하지 않았다. 아울러 2022년 10월 최초 유출 사고 이후에도 재발방지 대책을 충분히 마련하지 않아 2023년 11월 동일한 방식으로 유출 사고가 발생했다. 조사 결과 해커는 1차 공격 당시 10만9183회, 2차 공격 당시 17만9310회나 로그인을 시도한 것으로 나타났다. 또 개인정보를 보호하기 위한 암호화 조치도 소홀했고, 2023년 발생한 유출 사고와 관련해선 정당한 사유 없이 유출 통지와 신고를 지연한 사실도 확인됐다.

개인정보위는 "개인정보를 처리하는 사업자의 경우 운영 중인 시스템에 대한 안전조치를 철저히 해야 한다"며 "사고가 이미 발생한 경우에는 재발 방지 대책을 마련하는 노력을 기울여달라"고 당부했다.

섹타나인 관계자는 "회원들에게 심려를 끼쳐 죄송하며, 재발 방지에 더욱 노력하겠다"며 "전산망이 뚫리는 일반적인 해킹 피해가 아닌 다른 곳에서 수집한 로그인 정보로 불법 접속을 한 것인데 이런 처분을 받게 돼 안타깝다. 법적 구제 방안을 검토하고 있다"고 말했다.

구혁 기자