모두투어네트워크 3백6만명 개인정보 해커에 털렸다

해커에게 3백6만여명의 개인정보를 탈취당한 모두투어네크워크에 7억5천700만원의 과징금과 과태료가 부과됐다.

개인정보보호위원회는 12일 제6회 전체회의를 열어 이같이 결정했다고 13일 밝혔다.

개인정보위는 지난해 7월 ㈜모두투어네트워크의 개인정보 유출 신고에 따라 조사한 결과, 개인정보 보호법에 따른 안전조치 의무와 개인정보 파기 및 유출 통지 의무를 소홀히 한 사실을 확인했다고 밝혔다.

개인정보위에 따르면 신원미상의 해커는 지난해 6월 ㈜모두투어네트워크가 운영 중인 웹페이지의 파일 업로드 취약점을 이용해 다수의 웹셸 파일을 업로드했고 해당 파일에존재하는 악성코드를 실행해 고객 정보 데이터베이스(DB)에서 회원·비회원 306만여 명의 개인정보를 탈취했다.

탈취한 정보는 고객의 한글이름과 영문이름, 생년월일, 성별, 휴대전화번호 등이었다.

웹셸 공격은 특정 웹페이지의 파일 업로드 취약점을 파고들어 시스템에서 실행가능한 악성코드를 삽입 및 실행해 관리자 권한 획득, 개인정보 탈취 등을 행하는 공격 기법이다.

조사 결과에 따르면, ㈜모두투어네트워크는 해커의 웹셸 공격을예방하기 위해 업로드된 파일에 대한 파일 확장자 검증 및 실행권한 제한등 보안 취약점 점검·조치를 취해야 했지만 이를 소홀히 했다.

아울러, 개인정보 유출 시도를 탐지·대응하기 위한 접근통제 조치도 미흡했던 것으로 밝혀졌다.

또 모두투어네트워크는 '13년 3월부터 수집한 비회원 316만여 건(중복 포함)의 개인정보를 보유기간이 경과되었음에도 파기하지 않고 보유하고 있어, 대규모 유출에 영향을 끼쳤다.

작년 7월에는 개인정보 유출 사실을 알았으면서도 정당한 사유 없이 2개월이 지난 9월에야 개인정보 유출사실을 통지했다.

개인정보위는 "유출 사고에서 주요 원인이 된 웹셸 공격은 잘 알려진 웹 취약점 공격이지만 데이터베이스(DB)에 접근이 가능해 피해 정도가 큰 특징을 가지고 있다"며 "개인정보 탈취 위험에 대한 사전 탐지·차단 정책 강화및 파일 업로드 취약점 점검·조치 등 각별한 주의와 예방이 필요하다"고 밝혔다.