(주)청호이지캐쉬 검사결과제재 (2018-01-22)

신용정보전산시스템에 대한 접근통제 부적정

신용정보의 이용 및 보호에 관한 법률 제17조 제2항, 제19조 제1항 등에 의하면 신용정보회사 등으로부터 신용정보의 처리를 위탁받은 자(이하 ‘수탁자’)는 신용 정보전산시스템에 대한 제3자의 불법적인 접근, 입력된 정보의 변경·훼손 및 파괴, 그 밖의 위험에 대하여 기술적·물리적·관리적 보안대책을 수립·시행하여야 하며, 신용정보업감독규정 제20조 [별표 3]에 따라 개인신용정보처리시스템에 침입탐지시스템을 설치하여 보호 하여야 함

㈜청호이지캐쉬는 은행 등 금융회사와 계약을 체결하고 자사가 보유 중인 ATM 또는 CD기를 통하여 동 금융회사로부터 예금 인출, 입금, 잔액조회, 계좌 이체, 카드단기대출 등의 금융서비스 제공을 위탁받아 처리하면서 개인신용정보를 처리하는 ATM에 대한 외부공격을 탐지할 수 있는 침입탐 지시스템을 설치하지 아니하여 해커가 OOOO.OO.OO.과 OOOO.OO.OO.에 각각 O대, O대의 ATM에 악성코드를 설치한 사실을 탐지하지 못하였고, 이로 인해 악성코드 조기 제거 및 정보유출 경로 차단 등 개인신용정보 유출을 방지하기 위한 적절한 대응조치가 이루어지지 않아 동 해커가 OOOO.OO.OO.과 OO.OO.에 각각 O대, O대의 ATM에 수록·저장 되어 있던 주민등록번호 OOOO건, 계좌번호 OOOO건, 신용카드 번호 OOOO건, 거래전표 내역 OOOOO건 및 IC카드 비밀번호 등을 외부로 유출하는 결과를 초래 하였음

악성코드 감염 방지대책 이행 불철저

신용정보업감독규정 제20조 [별표 3]에 의하면 수탁자는 백신 소프트웨어를 월 1회 이상 주기적으로 갱신·점검하고, 바이러스 경보가 발령된 경우 및 백신 소프트웨어 제작 업체에서 업데이트 공지가 있는 경우에는 즉시 최신 소프트웨어로 갱신·점검 하여야 함

OOOO.OO.OO. 백신 소프트웨어 제작업체가 자사 홈페이지를 통해 백신 소프트웨어(OOO버전) 업그레이드(OOO버전)를 안내하면서 이전 버전(OOO버전)에 대한 제품 서비스를 종료한다고 공지하였으나 OOOO.OO.OO. 현재 백신관리서버 O대 중 O대에 백신관리 소프트웨어를 각각 OOO버전, OOO버전을 탑재하고 있는 등 최신상태로 운영하지 않았음

주민등록번호 및 비밀번호 암호화 미이행

신용정보업감독규정 제20조 [별표 3]에 의하면 수탁자는 비밀번호 등 본인임을 인증하는 정보를 암호화하여 저장하고 이를 조회할 수 없도록 하여야 하고, 주민 등록번호를 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ)에 저장할 때 에는 암호화 하여야 함

검사착수일(2017.3.16.) 현재까지 ATM 및 CD기의 인터넷 직접 접속을 허용 하면서 거래 로그파일에 주민등록번호 및 비밀번호를 암호화하지 않고 평문으로 저장하였음

｢신용정보의 이용 및 보호에 관한 법률｣ 제17조, 제2항 ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, 제1항 ｢신용정보의 이용 및 보호에 관한 법률｣ 제52조, 제1항 ｢신용정보업감독규정｣ 제20조, 별표3