잇단 해킹과 개인정보 유출 사고로 논란을 빚은 주요 IT·커머스 기업들이 국회 국정감사장에 나와 의원들의 집중 질타를 받았다.
고객 민감정보 보호 소홀은 물론, 이미 지적받은 보안 취약점을 방치하거나 침해 징후조차 제때 탐지하지 못하는 등 총체적 보안 관리 부실이 드러났다는 지적이 쏟아졌다.
6일 국회 과학기술정보방송통신위원회의 과학기술정보통신부 대상 국정감사에는 티빙, LG유플러스, 배달의민족, 토스페이먼츠, 강남언니, 듀오, 쿠팡 등 최근 침해사고 및 개인정보 유출을 겪은 기업 관계자들이 증인으로 대거 출석했다.
◆ 티빙 “기본 보안 소홀” 인정… 5년간 매출 26배 뛸 동안 전담인력 단 4명
우선 3954만건의 계정정보가 유출된 티빙은 허술한 기본 보안 관리가 수면 위로 떠오르며 강한 비판을 받았다.
이정헌 더불어민주당 의원은 개발자 접속정보가 소스코드에 암호화되지 않은 채 평문으로 저장된 점과 가상서버를 통해 24GB 규모의 데이터가 빠져나가는 동안 모니터링 체계가 전혀 작동하지 않은 점을 조목조목 지적했다. 이에 최주희 티빙 대표는 “그간 보안 관리에 소홀했음을 여실히 느꼈다”며 고개를 숙였다.
과거 지적된 취약점을 방치한 점도 질타 대상이 됐다. 같은 당 이훈기 의원은 티빙이 지난 2014년 모의해킹 당시 하드코딩 취약점을 지적받았음에도 해당 프로젝트에만 한정해 조치했을 뿐, 전체 시스템의 위험을 제거하지 않았다고 꼬집었다.
특히 티빙의 최근 5년간 매출이 155억원에서 4068억 원으로 26.2배 폭성장하는 동안 정보보호 전담인력은 단 4명에 불과했다는 사실이 밝혀져 충격을 줬다. 최 대표는 “인력과 투자를 대폭 늘려 제로트러스트 기반의 글로벌 수준 보안 체계를 구축하는 데 총력을 다하겠다”고 답했다.
◆ LG유플러스 ‘증거 인멸’ 의혹 추궁…“귀책 인정 시 위약금 면제해야”
LG유플러스는 침해사고 발생 이후 취한 서버 조치의 적절성을 두고 집중 추궁을 받았다.
한준호 민주당 의원은 LG유플러스가 지난 7월 19일 침해사고 정황을 통보받은 뒤 8월 12일 관련 서버의 운영체제(OS)를 재설치한 점을 문제 삼았다. 침해 정황이 포착된 서버는 원본 상태를 보존하고 디스크 전체의 포렌식 이미지를 확보하는 것이 기본인데, 이를 이행했는지 파고든 것이다.
LG유플러스 측은 한국인터넷진흥원(KISA)에 포렌식이 가능한 자료를 제출했다고 해명했으나, 한 의원은 “정부 민관합동조사단이 OS 재설치로 인해 침해 흔적과 공격 경로를 확인하기 어렵다고 밝혔다”며 사측의 증거 보존 조치에 강한 의문이 제기했다.
이어진 질의에서 이훈기 의원은 과기정통부와 개인정보보호위원회가 서버 폐기 및 OS 재설치 등을 이유로 수사를 의뢰한 상황을 언급하며, 고의적인 은폐나 증거인멸이 확인될 경우 이용자 보호 책임을 버린 것이라고 질타했다. 이 의원은 “수사 결과 회사의 귀책사유가 인정된다면 약관에 따라 이용자 위약금을 면제해야 한다”고 촉구했다. 이에 홍관희 LG유플러스 전무는 “이용자 보호 조치가 필요한 부분에 대해 최선의 조치를 취하겠다”고 밝혔다.
◆ 위장취업·결제영수증 유출…내부 통제 무너진 배민·토스
배달의민족과 토스페이먼츠는 허술한 내부 보안 통제망이 도마 위에 올랐다.
배달의민족에서는 고객센터에 위장 취업한 상담원이 고객의 집 주소와 현관 비밀번호 등을 빼돌려 외부에 넘기는 사건이 발생했다. 고객 정보가 무단 조회·반출되는 동안 내부 이상징후 감시 체계는 전혀 작동하지 않았다. 운영사 우아한형제들의 김정훈 CISO(정보보호최고책임자)는 “고객센터 등 개인정보 수탁사에 대한 관리·감독 항목을 기존 30개에서 50여 개로 대폭 확대했다”고 해명했다.
토스페이먼츠 역시 해커가 결제 영수증 등을 대량으로 탈취하는 동안 이상징후 감시망이 먹통이었다. 임한욱 토스페이먼츠 CEO는 “미흡한 점이 있었다”고 인정하며 “내부 체계뿐 아니라 가맹점에 대한 관리·감독을 강화하겠다”고 말했다.
◆ 의료·성형·이혼 사유까지 털린 강남언니·듀오…“배상 책임질 것”
민감 정보가 대량 유출된 강남언니와 듀오에는 사고 원인 규명과 함께 피해자 보상 대책 마련 요구가 거세게 이어졌다.
강남언니는 이름·전화번호는 물론 이용 병원, 희망 시술 부위, 결제 상품, 성형 관련 사진 등 22만2000명의 민감 정보가 유출됐다. 홍승일 강남언니 CEO는 “책임을 통감한다”며 “정보보호 인력을 3배 이상 확충하고 보안 투자를 2.5배 이상 늘리겠다”고 전했다.
회원 43만명의 프로필이 유출된 듀오는 병역 정보, 전 배우자 이름, 이혼 사유, 연수입, 재산, 건강 상태 등 극히 사적인 정보가 포함된 것으로 확인됐다. 박수경 듀오 대표는 “유출 정보로 인한 추가 피해 발생 시 책임지고 배상하겠다”는 입장을 밝혔다.
한편 쿠팡에서는 브렛 앤서니 매티스 CISO가 증인으로 나와 패스키 도입, 키 관리시스템 개선, 정보보호자문위원회 설립 등 사고 이후 진행된 보안 강화 조치와 지속적인 투자 계획을 설명했다.
노희선 온라인 기자 ahrfus31@segye.com
