개인정보위, 삼양홀딩스·삼양사·삼양패키징에 과징금 5억5200만원…2022년 해킹으로 14만9767명 정보 유출

개인정보보호위원회가 2022년 해킹으로 약 15만 명의 개인정보를 유출한 삼양그룹 계열사에 과징금과 과태료를 부과했다. 개인정보위는 11일 전체회의에서 개인정보보호법을 위반한 삼양홀딩스·삼양사·삼양패키징에 과징금 총 5억5200만원과 과태료 1620만원을 부과하고, 개인정보 처리 업무를 위탁받은 삼양데이타시스템에는 시정명령 등을 내리기로 의결했다고 12일 발표했다.

과징금은 삼양홀딩스·삼양사·삼양패키징에 각각 1억8400만원이다. 과태료는 삼양홀딩스 900만원, 삼양사 180만원, 삼양패키징 540만원으로 정해졌다. 삼양데이타시스템에는 접근통제 등 안전조치 의무 위반을 이유로 시정명령과 공표 조치가 의결됐다.

개인정보위 조사 결과 해커는 2022년 7월 삼양그룹 메일서버의 취약점을 이용해 관리자 권한을 얻은 뒤 내부 파일서버의 인증정보를 빼냈다. 이를 통해 삼양 3사의 임직원과 주주, 관계자 등 14만9767명의 개인정보가 담긴 파일 약 85만 개(1.3TB)가 외부로 유출됐다. 유출 정보에는 8만2750명의 주민등록번호가 포함됐다.

개인정보위는 기본적인 관리 부실을 원인으로 지목했다. 삼양데이타시스템은 데이터를 다른 곳으로 옮긴 뒤에도 기존 서버를 외부망과 연결된 상태로 남겨뒀고, 이 때문에 해커가 짧은 기간에 개인정보를 외부 클라우드로 빼돌릴 수 있었던 것으로 조사됐다.

삼양 3사는 주민등록번호 암호화 같은 안전조치 의무도 지키지 않았다. 삼양홀딩스와 삼양패키징은 법정 보존기간이 지난 일용직 근로자의 급여정보를 파기하지 않았다. 삼양홀딩스는 채용 과정에서 법적 근거 없이 주민등록번호를 수집한 사실도 확인됐다.

개인정보위는 "이번 사고는 주민등록번호 암호화 미흡과 불필요한 개인정보의 장기 보관으로 피해가 확대됐다"며 "불필요한 개인정보는 적시에 파기하는 등 기본적인 안전조치 의무를 철저히 준수해 달라"고 당부했다.

삼양홀딩스 관계자는 "개보위 조사·심의 결과에 따른 행정 처분을 엄중하게 받아들이고 있다"며 "정보주체자들에게 깊이 사과드린다"고 말했다. 삼양그룹은 사고 직후 유출 경로를 차단했고, 이후 4년간 전사 보안 체계를 보강해 왔다고 설명했다.

이번 처분은 사고 발생 이후 약 4년 만에 나왔다. 유출 사고는 2022년 7월 발생했고, 개인정보위는 조사와 심의를 거쳐 이달 11일 제재를 의결했다. 처분 대상 기업이 불복하면 행정소송 등으로 다툴 수 있으나, 삼양그룹 측의 불복 여부는 확인되지 않았다.

이번 사례는 데이터 이관 뒤 쓰지 않는 서버를 방치하는 관행이 대규모 유출로 이어질 수 있음을 보여준다. 개인정보위는 사용하지 않는 서버를 폐기하거나 외부와의 연결을 끊는 등 기본 관리 의무를 거듭 강조했다.

삼양그룹은 삼양홀딩스를 지주사로 화학·식품·패키징·의약바이오 사업을 하는 그룹으로, 김윤 삼양홀딩스 회장이 이끌고 있다. 같은 날 개인정보위는 개인정보 관리가 부실했던 알뜰폰 사업자 8곳에도 총 1억7130만원의 제재를 의결했다.