엔에이치엔커머스㈜ 구형 쇼핑몰 솔루션('e나무') 개인정보 유출사고 제재- 보안 사각지대에 방치된 구형 솔루션에서 사고 발생, 신형 대체 솔루션 제공 권고 개인정보보호위원회(위원장 송경희, 이하 '개인정보위')는 1월 28일(수) 제2회 전체회의를 열고, 개인정보 보호 법규를 위반한 엔에이치엔커머스㈜(이하 '엔에이치엔커머스')에게 과징금 870만 원, 과태료 450만 원 및 공표명령을 부과하기로 의결했다. 구체적인 위반 내용과 처분 결과는 다음과 같다.
유출 경위 및 내용 엔에이치엔커머스는 쇼핑몰 구축을 원하는 이용사업자들에게 SaaS*방식의 'e나무' 솔루션을 제공하고 있다. 해당 솔루션의 장바구니 관련 웹페이지에서 '24.9월 경 SQL 인젝션** 공격으로 17개 이용사업자(근린생활시설 등을 운영하는 소상공인 또는 중소기업) 홈페이지에서 총 122건***의 주문자 개인정보가 유출되는 사고가 발생하였다.
SaaS(Software as a Service, 서비스형 소프트웨어) : 소프트웨어를 서버 등에 설치하지 않고 인터넷을 통해 클라우드 형태로 제공하는 방식 ** 공격자가 데이터베이스(DB) 질의어(SQL쿼리)를 비정상 조작하여 권한 없는 정보에 접근할 수 있는 해킹 기법*** 주문자 정보(이름, 전화번호, 휴대폰번호), 배송지 정보(우편번호, 주소), 주문 정보(주문번호, 주문날짜, 결제 방법, 배송비), 상품 정보(상품명, 결제 금액, 상품 가격) 등 이번에 문제가 발생한 'e나무'의 해당 솔루션은 서비스를 개시한지 약 10여년이 지난 구형 솔루션으로 기술지원 및 보안관리가 제대로 이루어지지 못하고 있고, 대부분의 이용사업자가 차세대 솔루션으로 이전을 완료한 상태다. 그러나 소수의 영세 이용사업자들이 홈페이지 이전·재구축을 하지 못하고 기존의 'e나무' 솔루션을 계속 이용하던 중 이번 개인정보 유출 사고가 발생했다. 엔에이치엔커머스는 웹페이지의 개발주체 및 서버 운영주체로서 SQL 인젝션 공격의 발생 사실과 유출된 개인정보의 범위·내용을 즉시 확인하고