개인정보위, 개인정보 유출한 '보람상조' 제재- 안전조치의무 소홀 및 수탁자 관리감독 미흡에 대해 과징금·과태료 약 5.5억 원 부과- 다수 기업이 관련되는 개인정보 처리 구조에서의 투명성 제고 및 관리 책임 강화 강조- 개인정보 장기보관, 다수의 협력업체 등이 존재하는 상조분야 전반에 대해 사전실태점검 병행 중 개인정보보호위원회(위원장 송경희, 이하 '개인정보위')는 5월 13일(수) 제9회 전체회의를 열고, ｢개인정보 보호법｣(이하 '보호법')을 위반한 보람상조개발㈜(이하 '보람상조개발') 등 보람상조 7개 사업자*에 대해 과징금 총 5억 4,250만 원 및 과태료 1,140만 원을 부과하고, 시정 및 공표 명령을 의결하였다.
보람상조개발(주), 보람상조리더스(주), 보람상조라이프(주), 보람상조피플(주), 보람상조애니콜(주), 보람상조실로암(주), 보람상조플러스(주) 개인정보위는 '24. 5. 28. 보람상조개발로부터 개인정보 유출 신고가 접수됨에 따라 조사에 착수하여, 안전조치의무 위반 및 수탁자에 대한 관리감독 소홀 등의 법 위반 사실을 확인하였다. 조사 결과에 따르면, 보람상조개발은 보람상조리더스㈜ 등 보람그룹 내 6개 계열사로부터 온라인 고객 상담 등 고객관계관리(CRM) 업무를 위탁받아 수행하면서 홈페이지를 통해 수집된 개인정보를 통합 관리하는 데이터베이스(DB)를 운영해 왔으나, 해당 시스템과 관련하여 접근제어 등 안전성 확보 조치를 소홀히 하였던 것으로 드러났다. 더불어, 위탁사인 6개 계열사는 개인정보 처리를 위탁한 주체로서 수탁자인 보람상조개발이 안전하게 정보를 관리하도록 교육하고 감독해야 할 의무가 있음에도, 이를 충분히 이행하지 않은 사실도 확인되었다. 이에, 해커가 홈페이지의 취약점을 이용한 '에스큐엘 인젝션(SQL Injection)*' 공격을 통해 해당 DB에 침입하여 이름, 휴대전화번호, 이메일 등 고객의 개인정보를 탈취한 것으로 확인되었다.
웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베