위메프 고객정보 유출건수, "3만5천건? 420건?"

전문가들 "누구나 볼 수 있는 상태 놓인 개인정보는 유출로 봐야"
특별점검반 위메프 고객정보 유출사건 조사 중…최종 결과 주목

 

박은상 위메프 대표가 지난 2015년 2월 기자회견을 열어 위메프에서 불거진 `채용갑질` 논란에 대해 사과하고 있다. 사진=연합뉴스

위메프는 지난달 14일 개인정보 유출사고를 일으킨 후 이튿날인 16일 "환불신청일, 금액, 은행명, 계좌번호 내역의 노출 가능성이 있던 3만5000건 중 실제 420건이 노출됐다"고 고지했다. 이어 "이 중 상세보기를 클릭해 성명이 포함된 은행명, 계좌번호가 노출된 경우는 25명인 것으로 확인됐다"고 밝혔다.

법적인 관점에서 위메프의 개인정보 유출건수를 몇 건으로 봐야 할까. 이는 향후 위메프의 법적 책임의 범위를 따지고 피해보상 규모를 산정하는 데 중요한 기준이 된다는 점에서 관심이 높다.

정부기관과 대부분의 보안전문가들은 위메프의 고객정보 유출건수는 3만5000건이라고 해석해야 한다고 강조한다. 그러면서 사고의 규모를 축소하기 위해 실제 빠져나간 개인정보를 기준으로 잡아선 안 된다고 지적했다.

우선 이번 사건을 조사하고 있는 방송통신위원회는 "위메프의 고객개인정보가 취급자 이외에 누구나 볼 수 있는 상태가 된 게 3만5000건이므로 이 수치가 유출 규모"라는 입장을 견지했다. 방통위 관계자는 "아직 행정처분이 완료된 게 아니라 진행 중인사건이라 정보 유출건수를 딱 잘라 언급하기는 어렵지만, 원칙상 권한이 없는 자에게 볼 수 있는 상태가 된 건은 전부 다 유출로 보는 게 맞다"고 강조했다.

행정자치부의 표준 개인정보 보호지침도 이처럼 규정하고 있다. 지침에 따르면 개인정보의 유출은 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대해 개인정보처리자가 통제를 상실하거나 권한 없는 자의 접근을 허용한 것을 의미한다. 일반적 수준의 제3자가 해당 정보를 알 수 있는 상태에 놓인 것만으로도 그 자체를 개인정보가 유출된 것으로 본다는 뜻이다.

위메프 본사 전경. 사진=오현승 기자

구태언 테크앤로 대표변호사는 이와 관련, "고객의 개인정보가 노출돼 외부에서 충분히 접근할 수 있다는 것만으로도 개인정보 주체입장에선 위험한 것"이라며 "그런 것도 하지말라는 게 법의 취지"라고 말했다.

김경환 법무법인 민후 대표변호사 역시 "일반인이 위메프의 유출된 고객정보를 보지 않았더라도 법적으로는 위메프가 노출가능성이 있었다고 언급한 건수(3만5000건) 전부를 노출·유출된 것으로 간주하는 게 맞다"고 해석했다. 김 변호사는 "위메프는 정보통신망법을 적용받는 사업자인데 이번 사안처럼 정통망법의 해당 내용이 개인정보호보법의 지침과 내용과 비슷할 경우 개보법의 조문을 끌어다 해석할 수 있다"고 설명했다.

이런 상황에서 위메프는 정보유출 사실을 인지하고서 해당 내용을 관계 기관에 제때 알리지 않았다는 비난을 받고 있다. 위메프는 지난달 14일 오후 5시 24분 정보유출 사실을 인지한 후 약 25시간이 지난 이튿날 오후 6시 27분에서야 겨우 1차 신고를 마쳤다. 정통망법에 따라 3000만원의 과태료가 부과되는 사안이다.

당시 민호기 위메프 언론홍보팀장은 "6월 14일 오후 6시 내외에 사고를 인지해 이튿날 오후 6시 내외에 (유관 기관에) 신고를 마쳤다. 24시간 내에 신고했다는 점이 사실"이라고 설명했지만 이는 거짓으로 밝혀지기도 했다. 민 팀장은 "이런 일(고객정 보유출 등)이 나면 현업 부서에선 자신들의 실수를 최소화하려고 제대로 커뮤니케이션을 해주지 않는다"고 말했다.

위메프 개인정보유출 사고일지

개인정보보호표준포럼 의장을 맡고 있는 염흥열 순천향대 정보보호학과 교수는 "고객개인정보 관리 소홀로 인해 인가된 관리자 이외의 주체에게도 접근을 허용했다는 점에서 위메프의 정보유출사고는 명백한 보안사고"라면서 "고객정보유출 사고의 발생가능성을 최소화하기 위한 기술적·관리적·정책적 보호조치가 마련돼야 한다"고 말했다.

한편 당국은 지난달 16일 위메프를 현장점검 후 고객정보 유출사고에 대한 조사를 이어가고 있다. 인터넷진흥원 관계자는 "이번 사안은 특별 점검반의 조사가 마무리돼야 최종 결과를 알 수 있을 것"이라고 전했다.

오현승 기자 [e-mail]

<세계파이낸스>