개인정보위, ‘주민번호 등 유출’ 법원행정처에 과징금 2억 철퇴

북한 해킹으로 주민등록번호 등 만 8천 명의 개인정보를 유출한 법원행정처가 공공기관 대상으로는 가장 큰 규모인 2억 원의 과징금을 물게 됐습니다.

2023년 개정 이전 개인정보보호법을 적용한 공공기관 사건 중에선 가장 큰 과징금입니다.

개인정보보호위원회는 어제(8일) 올해 첫 전체 회의를 열고, 개인정보보호 법규를 위반한 법원행정처에 대해 과징금 2억 7백만 원과 과태료 6백만 원을 부과하고 개선 권고를 의결했다고 오늘(9일) 밝혔습니다.

앞서 지난해 경찰 등 관계기관 합동 조사 결과, 북한발 해킹으로 법원 전산망에서 소송 관련 문서 등 1,014기가바이트(GB) 분량의 데이터가 유출된 사실이 확인됐습니다.

개인정보위는 그 후속 조치로 구체적인 유출 내용을 확인하고, 법원행정처의 개인정보보호법 위반 행위를 확인해 이번 조치를 의결한 겁니다.

우선 당시 법원 전산망에서 유출된 1,014기가바이트 데이터 중에 0.5%가량인 4.7기가바이트의 파일이 복원됐는데, 여기에는 주민등록번호를 포함한 1만 7,998명의 개인정보가 확인됐다고 개인정보위는 밝혔습니다. 때문에 실제 유출된 개인정보는 더 많을 것이란 관측이 나옵니다.

유출된 개인정보에는 이름과 나이, 주민등록번호, 생년월일, 연락처, 주소 등을 포함해 1만 개 넘는 소송 관련 문서가 포함됐습니다.

개인정보위는 이번 개인정보 유출이 북한 해킹 때문에 벌어진 일이라 하더라도, 법원행정처의 사전 사후 조치에 미흡한 점이 많았다는 점을 지적했습니다.

먼저, 법원행정처가 편의를 위해 내부망과 외부망 간 상호 접속이 가능한 인터넷 이용 포트를 개방·운영했고, 이 포트를 통해 침입한 해커가 내부망 전자소송 서버에 저장된 다량의 소송 문서를 유출한 사실을 문제 삼았습니다.

또 법원행정처가 소송 관련 문서를 서버에 저장‧보관하면서 주민등록번호가 포함된 소송문서를 암호화하지 않았고, 인터넷 가상화 시스템 계정을 관리하는 서버 관리자 계정 등의 비밀번호를 유추하기 쉬운 초기 비밀번호를 사용한 점도 지적됐습니다.

뿐만 아니라 법원행정처가 내부망에 위치한 ‘인터넷 가상화 웹서버’에 백신 소프트웨어 등 보안프로그램을 설치하지 않고 운영한 점과 함께 지난 2023년 2월 악성파일을 탐지하고 두 달 뒤 개인정보 유출 정황을 인지했는데도 그해 12월에야 유출 신고를 한 점도 문제라고 개인정보위는 판단했습니다.

개인정보위는 법원행정처에 과징금 등 조치와 함께 개인정보 시스템 운영체계와 조직·인력, 관련 규정 등 보호 체계 전반에 대한 안전조치 실태를 점검하고 보안 수준 향상을 위한 방안을 마련하도록 권고했습니다.

[사진 출처 : 연합뉴스]