개인정보보호위원회가 공개한 '개인정보 유출사고 개요'(사진=개인정보보호위원회)

[위즈경제] 이정원 기자 =개인정보보호위원회(이하 개인정보위)는 28일 제2회 전체회의를 열고 '개인정보 보호법(이하 보호법)'을 위반한 티머니에 총 5억 3400만 원의 과징금을 부과하고 시정명령 및 공표 명령하기로 의결했다고 29일 밝혔다.

앞서 티머니는 선불교통카드 및 대중교통 요금 정산 등 서비스를 운영하는 사업자로 '티머니 카드&페이' 웹사이트에 신원 미상의 해커가 지난해 3월 13일부터 25일까지 '크리덴셜 스터핑(Credential Stuffing)' 공격 방법으로 침입해 총 5만1691명의 개인정보(이름, 이메일, 주소, 휴대폰 번호, 주소)를 유출한 바 있다.

개인정보위 조사 결과에 따르면, 해당 기간 동안 해커는 '티머니 카드&페이' 웹사이트에 국내·외 9647개 아이피(IP) 주소를 사용해 1초당 최대 131회, 1분당 최대 5265회, 총 1226만 번 이상 대규모로 로그인을 시도했으며, 이 가운데 5만 1691명의 회원 계정으로 로그인에 성공해 개인정보가 포함된 웹페이지에 접근한 것으로 확인됐다.

이 과정에서 해커는 로그인에 성공한 계정 중 4131명의 계절에서 잔여 'T마일리지' 약 1400만 원을 선물하기 기능으로 탈취해 추가적인 피해가 발생한 것으로 조사됐다.

이는 티머니가 특정 IP 주소에서 대량의 반복적인 로그인 시도 등 비정상적인 이상 징후가 발생하였음에도, 이에 대한 침입 탐지·차단 및 이상행위 대응 등 안전조치의무를 소홀히 한 탓에 개인인정보 유출 피해로 이어졌다.

이에 따라 개인정보위는 티머니에 5억 3400만 원의 과징금을 부과하고, 사업자 누리집에 사실을 공표하도록 명령하는 한편, 구체적인 재발 방지 대책을 수립·시행하도록 시정조치 명령했다. 

아울러 개인정보위는 최근 크리덴셜 스터핑 해킹 공격이 빈번하게 발생하는 만큼, 비정상 접속 등 이상행위에 대한 침입 탐지·차단 조치를 포함한 보안대책을 점검·강화할 것을 당부했다.

또한, 개인정보 노출 페이지 내 개인정보 비식별화, 개인정보 포함 페이지 접근 시 추가 인증 적용 등의 조치가 추가적으로 사고예방에 도움이 될 수 있다고 강조했다.