[이 기사에 나온 스타트업에 대한 보다 다양한 기업정보는 유니콘팩토리 빅데이터 플랫폼 ‘데이터랩’에서 볼 수 있습니다.]
한국벤처캐피탈협회(KVCA)에서 회원사 임직원의 개인정보가 외부로 유출되는 사고가 발생했다. 이번 개인정보 유출 사고는 외부 해킹이 아닌 직원의 업무 과실 때문인 것으로 나타났다.
31일 벤처투자업계에 따르면 한국벤처캐피탈협회는 지난 28일 오전 10시 18분쯤 회원사 임직원 186명에게 'PHP 보안 취약점 현황 파악 회신양식'이라는 제목의 전자우편을 발송하는 과정에서 개인정보가 포함된 엑셀 파일을 잘못 첨부해 전송했다.
이번에 유출된 항목은 회원사 임직원의 성명, 생년월일, 연락처(전자우편주소·휴대전화번호)를 비롯해 학력과 경력 사항 등이다. 휴대전화번호와 학력·경력 정보는 협회가 기존에 보유하고 있던 대상자에 한해 파일에 포함된 것으로 파악됐다. 보안을 강화하겠다는 취지로 발송한 안내 메일이 오히려 개인정보 유출 통로가 된 셈이다.
PHP는 전 세계 웹사이트 개발에 가장 보편적으로 쓰이는 프로그래밍 언어 중 하나다. 주로 웹 서버에서 동작하며 홈페이지 등을 구축할 때 널리 이용된다.
협회가 이번에 현황 파악에 나섰던 'PHP 보안점검'은 지난 21일 전 세계적으로 보고된 치명적인 시스템 결함이다. PHP에 오랜 기간 잠재해 있던 코드가 해킹에 취약한 것으로 나타나면서 전 세계적으로 보안점검과 강화에 나섰다. 협회 역시 해커가 비밀번호 등 별도의 인증절차 없이도 외부에서 원격으로 타인의 시스템을 장악할 수 있어 보안 작업에 나선 것으로 풀이된다.
회원사의 해킹 피해를 예방하고자 조치하던 중 개인정보 유출 사고가 발생한 것이다. 협회는 메일 발송 당일인 28일 오후 2시 45분쯤 한 회원사의 제보를 받고서 유출 사실을 인지했다. 발송 후 약 4시간 30분 동안 개인정보 파일이 수신자들에게 고스란히 노출돼 있었던 것이다.
협회 측은 즉각 수습에 나섰다. 사고 인지 직후 메일을 수신한 회원사 임직원 186명 전원에게 기존 전자우편과 첨부파일을 즉시 삭제해 달라고 요청했다. 이어 이튿날인 29일에는 수신자 전원에게 자료의 재전송 및 저장 금지를 안내하고, 파일 삭제 완료 여부와 제3자 전달 여부를 기재한 확인서를 받고 있다. 아직 확인서를 회신하지 않은 인원에 대해서는 개별 확인 절차를 진행 중이다.
협회 관계자는 "해당 사실 인지 후 중소벤처기업부 등에 보고했고 내부 서버를 통해 발송 메일의 첨부파일 다운로드 제한 조치를 취했다"며 "이미 파일을 열람한 이들에게는 3자 유출 등을 하지 않았다는 서약서를 징구하고 있다"고 말했다.
협회는 사고 직후 개인정보보호위원회와 한국인터넷진흥원(KISA)에 개인정보 유출 사실을 자진 신고했다. 이후 30일 개인정보보호법 제34조에 따라 정보 주체들에게 유출 통지문을 발송하고 공식 사과했다.
협회는 통지문을 통해 "유출된 정보의 무단 이용이나 재유포가 확인되면 삭제 요구와 법적 조치 등 필요한 대응을 하겠다"며 "향후 배포용 양식과 원자료를 철저히 분리하고 발송 전 검수 절차를 두는 등 재발 방지 대책을 시행하겠다"고 밝혔다.
한편 협회는 2차 피해를 막기 위해 협회나 회원사, 공공기관을 사칭해 금전이나 추가 정보를 요구하는 연락에 응하지 말고, 투자 권유나 채용 제안 등을 가장한 출처 불명의 링크·첨부파일 열람에 각별히 유의해 달라고 당부했다. 법정 요건을 충족할 경우 피해 당사자는 개인정보 보호법에 따라 손해배상이나 최대 300만원 이하의 법정손해배상을 청구할 수 있다.
[머니투데이 스타트업 미디어 플랫폼 유니콘팩토리]