306만명 개인정보 유출…모두투어, 과징금·과태료 7.6억원

실시간
뉴스

보안

306만명 개인정보 유출…모두투어, 과징금·과태료 7.6억원

디지털데일리 발행일 2025-03-13 14:37:10

김보민 기자

URL복사

모두투어 공식 홈페이지에 올라온 사과문 일부 발췌. [ⓒ모두투어 홈페이지 캡처]

[디지털데일리 김보민기자] 약 306만명의 개인정보를 유출한 모두투어네트워크(이하 모두투어)에게 7억원대 과징금 및 과태료가 부과됐다.

개인정보보호위원회(이하 개인정보위)는 제6회 전체회의를 열고 모두투어에 총 7억5720만원 과징금 및 과태료를 부과하기로 의결했다고 13일 밝혔다.

개인정보위 조사에 따르면, 신원 미상의 해커는 2024년 6월 모두투어가 운영 중인 웹페이지 파일 업로드 취약점을 이용해 웹셸 파일을 업로드했다. 웹셸 공격은 특정 웹페이지 파일 업로드 취약점을 통해 시스템에서 실행 가능한 악성코드를 삽입한 뒤 실행하는 기법이다.

해커는 파일 내 악성코드를 실행해 고객정보 데이터베이스(DB)에서 회원·비회원 306만여명의 개인정보를 탈취했다. 탈취된 정보로는 한글 이름, 영문 이름, 생년월일, 성별, 휴대전화 등이 포함된 것으로 파악됐다.

개인정보위는 모두투어가 해커 웹셸 공격을 예방하기 위해 파일 확장자 검증 및 실행권한 제한 등 취약점 조치를 소홀히 관리했다고 진단했다. 아울러 개인정보 유출 시도를 탐지 및 대응하기 위한 접근 통제 조치가 미흡했다고 판단했다.

아울러 2013년 3월부터 수집한 비회원 316만여건의 개인정보가 보유 기간이 경과됐지만 파기하지 않고 보유하고 있던 점을 꼬집었다. 또한 지난해 7월 개인정보 유출 사실을 인지했지만 2개월이 지난 9월 유출 사실을 통지한 것 또한 침해 우려를 키웠다고 판단했다. 보호법상 개인정보 유출 사실을 인지한 후 72시간 내 유출 통지 의무가 발생한다.

개인정보위는 과징금 7억4700만원, 과태료 1020만원을 부과하고 사업자 홈페이지에 처분 사실을 공표하도록 했다. 아울러 유출 통지 지연 행위가 재발하지 않도록 내부 개인정보 보호 관리체계 개선을 요구했다.