삼양그룹 계열사들이 사용이 끝난 내부 서버를 외부망에 연결된 상태로 방치했다가 약 15만명의 개인정보를 유출한 사실이 적발됐다.
개인정보보호위원회는 지난 11일 전체회의를 열고 개인정보 보호법을 위반한 삼양홀딩스·삼양사·삼양패키징 등 삼양그룹 계열사에 총 5억5200만원의 과징금과 1620만원의 과태료 등을 부과했다고 12일 밝혔다.
해커는 2022년 7월 삼양그룹 메일서버의 취약점을 이용해 관리자 권한을 확보한 뒤 내부 파일서버 인증정보를 탈취했다.
이후 해당 서버에 저장돼 있던 임직원과 주주, 관계자 등 14만9767명의 개인정보가 포함된 파일 약 85만개, 1.3TB가 외부 클라우드로 유출됐다. 유출된 정보에는 8만2750명의 주민등록번호도 포함됐다.
문제가 된 파일서버는 데이터 이관을 위해 설치됐다. 하지만 데이터 이관이 끝난 뒤에도 사고 당시까지 외부망과 통신할 수 있는 상태로 남아 있었다.
개인정보위 조사 결과 삼양데이타시스템은 이 서버를 폐기하거나 외부 접근을 차단하지 않았다. 이 때문에 해커가 단기간에 대량의 개인정보를 외부로 빼낼 수 있었던 것으로 조사됐다.
삼양홀딩스와 삼양사, 삼양패키징은 주민등록번호 암호화 등 안전조치도 제대로 하지 않았다. 삼양홀딩스와 삼양패키징은 보존기간이 지난 일용직 근로자의 급여정보를 파기하지 않았다. 삼양홀딩스는 채용 과정에서 법적 근거 없이 주민등록번호를 수집한 사실도 확인됐다.
개인정보 처리 업무를 맡긴 뒤 위탁계약서를 뒤늦게 작성한 사실도 적발됐다. 삼양3사는 사고 당시인 2022년 7월 이미 삼양데이타시스템에 개인정보 처리를 맡기고 있었지만 관련 계약서는 2024년 12월에야 마련했다.
개인정보위는 삼양3사에 각각 과징금 1억8400만원과 과태료 180만원을 부과했다. 개인정보 파기 의무 등을 어긴 계열사에는 별도 과태료를 부과하고 삼양데이타시스템에는 시정명령을 내렸다.
개인정보위는 "사용이 중단된 서버를 폐기하거나 외부 접근을 차단하고 불필요한 개인정보를 적시에 파기하는 등 기본적인 안전조치만 충실히 이행해도 개인정보 유출 가능성과 피해를 줄일 수 있다"고 밝혔다.