지난 30일 경찰청은 해킹 프로그램을 제작하여 자신이 운영하는 TM사업에 이용하거나 타 TM 업체에 제공·판매할 목적으로 KT의 휴대전화 고객정보를 유출· 판매한 해커 등 9명을 검거하고, 유출한 고객정보와 해킹한 KT 고객정보를 전송받아 총괄 저장하고 있는 모든 DB서버를 압수·회수 조치했다고 발표한 바 있다.
이 사건이 집단소송으로 번질 조짐이다.
30일 업계에 따르면 네이버 등 포털에는 'KT공식해킹피해자카페' 'KT개인정보유출해킹피해자카페' 등 이번의 개인정보 유출에 대한 피해보상을 요구하면서 집단소송을 준비하는 카페들이 잇따라 개설되고 있다.
일부 시민단체들은 KT 측의 허술한 보안관리를 질책하고 나섰다.
경실련은 이날 발표한 성명에서 "KT의 허술한 고객정보 관리와 보안으로 피해가 발생했다"며 "범죄에 악용될 가능성이 있는 주민등록번호의 수집행위를 중단해야 한다"고 밝혔다.
경실련은 기업들의 무분별한 개인정보 수집과 마케팅 이용을 금지해야 한다고 촉구했다.
방송통신위원회(이하 방통위)는 KT 개인정보 유출 사건과 관련하여 해당 사업자가 개인정보보호의 기술적·관리적 보호조치 기준 등 개인정보보호 관련 법규를 준수했는지 여부를 면밀히 조사중이라고 밝혔다.
조사 결과 개인정보보호법이나 전기통신사업법상 위반 행위가 드러날 경우 KT에 과태료나 과징금이 부과될 수 있다.
이와 같은 조치에도 불구하고 발생할 수 있는 추가적인 피해를 방지하기 위하여 방통위는 해당 사업자로 하여금 개인정보가 유출된 이용자에게 즉각 해당 사실을 알리도록 하고, 홈페이지를 통해 유출 사실을 공개하도록 하였다.
또한, 개인정보 침해대응 핫라인(109개 인터넷사업자)를 통해 이러한 사실을 전파하여 개인정보의 불법 유출로 인한 2, 3차 추가 피해를 방지하도록 조치하였다.
더불어, 방통위는 KT뿐만 아니라 SKT, LGU+ 등 타 이동통신사에 대해서도 자체점검이 필요하다고 판단하고, 이통3사 긴급 임원회의를 통해 고객정보조회시스템 등에 대한 보안을 강화할 것을 권고하였다.
특히, 대리점 등 관련자에 의해 텔레마케팅 등에 활용할 목적으로 개인정보를 불법 유출한 사고가 발생한 만큼 기업이 개인정보관리 시스템의 접근 권한을 가진 인력에 대한 엄격한 통제와 보안의식을 강화하도록 하고, 개인정보 유출 사고가 재발되지 않도록 대리점, 판매점 등에 대한 보안관리체계도 재정비할 것을 주문하였다.
방통위는 현재 정확한 개인정보 유출사고 경위 파악을 위해 개인정보와 보안 전문가 등으로 사고 조사단을 구성하여 사고경위를 면밀히 조사하고 있으며, KT 측의 과실 여부와 개인정보보호 관련 위법 사항 등에 대해 조사하여 위반 사실 적발시 엄격히 조치할 예정이다.
이에 따라 현재까지는 해킹 프로그램을 통해 불법 유출된 개인정보가 검거된 TM 업체 이외에 추가적으로 이용된 내역은 없으나, 지속적인 모니터링과 개인정보 침해신고센터(콜센터 118) 등을 통한 신고 접수 등 적극적으로 대응하여 이용자의 권리가 침해되지 않도록 할 방침이다.
더불어, 개인정보 불법유출 및 이를 이용한 불법 TM을 근절하기 위해 이통사 대리점이나 판매점의 불법영업 실태에 대한 점검도 강화할 계획이라고 밝혔다.
최근 발생한 KT 해킹사건과 관련 보안담당 기자들이 기자실에 모이면 하는 말이 있다.
‘KT가 고객정보 유출 사실을 한 달만 늦게 알아챘다면 더 큰 파장 생겼을 것’이라는 것이다 이런 이야기가 나오는 이유는 이달 18일부터 정보통신망법(정보통신망 이용촉진 및 정보보호 등에 관한 법률) 개정안이 시행되기 때문이다. 새롭게 시행되는 법령에는 ‘정보통신사업자의 고발’이란 항목이 추가돼 있다.
국회는 지난 2월 17일 정보통신사업자들의 정보보호 의무를 확대하고 이용자들의 권리를 보호하기 위해 정보통신망법을 개정했다.
개정 정보통신망법은 현재 IT현황에 맞춰서 개정된 내용이 많다. 신설된 법령으로는 ▲주민등록번호 사용제한 ▲개인정보 누출등의 통지·신고 ▲개인정보 이용내역의 통지 ▲정보보호사전점검 ▲정보보호최고책임자 지정 ▲개인정보보호 관리체계의 인증 ▲정보보호 관리등급 부여 ▲방송사업자에 대한 준용 ▲정보통신서비스 제공자 고발 등이다.
여기서 주목할 부분은 ‘정보통신서비스 제공자 고발’이다. 정보통신망법 제69조의2항을 살펴보면 ‘방송통신위원회는 제64조의3제1항 각 호의 어느 하나에 해당하는 행위가 있다고 인정하는 경우에는 해당 정보통신서비스 제공자등을 검찰 등 수사기관에 고발할 수 있다’는 부분이 명시돼 있다.
정보통신망법 제28조 1항 2조에는 ‘개인정보에 대한 불법적인 접근을 차단하기 위한 침입차단시스템 등 접근 통제장치의 설치·운영’ 부분이 있다. 아직 수사가 종결된 것은 아니지만 KT는 해커들이 비정상적인 방법으로 고객영업시스템에 접근하는 것을 막지 못했다는 점에서 과실이 있었다고 볼 수 있다.
지금까지 개인정보유출 사고를 일으킨 기업은 과징금만 부과 받았다. 민사소송으로 인한 피해보상이 있을 수 있으나 과징금 이외의 처벌규정은 딱히 없었다.
제69조의2항 신설로 개인정보보호에 대한 기술적·관리적 조치(정보통신망법 제28조)를 취하지 않은 사업자는 ‘고발’을 당하는 등의 불편한(?) 경험을 할 수도 있다.
즉, 만약 KT가 고객정보 유출 사건을 한 달만 늦게 알았어도 ‘해킹 사건으로 인한 고발의 첫사례’란 불명예를 안게 됐을지도 모른다는 이야기다.
비단 KT만의 문제는 아니다. 엎지른 물은 다시 담을 수 없기 때문에 처음부터 엎질러선 안된다. 이번 사건을 계기로 개인정보를 취급하는 모든 사업자는 더더욱 보안에 신경 써야 할 것이다
이 뉴스클리핑은 http://libnews.co.kr에서 발췌된 내용입니다.
