개인정보위, 한국연구재단·티머니·엔에이치엔커머스 3곳 개인정보 유출 제재

개인정보보호위원회(이하 개인정보위)는 28일 전체회의를 열고 개인정보 보호법을 위반한 한국연구재단, 티머니, 엔에이치엔커머스에 과징금과 과태료를 부과하고 시정명령과 공표 명령을 의결했다고 29일 밝혔다.

개인정보위는 온라인 논문 투고 시스템의 장기간 보안 관리 소홀로 대규모 개인정보가 유출된 한국연구재단에 과징금 7억300만원과 과태료 480만원을 부과했다. 한국연구재단이 운영하는 ‘온라인논문투고시스템(JAMS)’에서는 2025년 6월 해커가 ‘비밀번호 찾기’ 기능의 취약점을 악용해 약 12만명의 개인정보를 열람했다. 유출 정보에는 성명, 아이디, 이메일, 휴대전화번호, 계좌번호 등 44개 항목이 포함됐다.

개인정보위 조사 결과, 해당 취약점은 2013년부터 존재했으나 연구재단은 이를 장기간 점검·개선하지 않았다. JAMS 포털만을 대상으로 취약점 점검을 실시하고 1600여개 학회 페이지는 점검 대상에서 제외한 것으로 나타났다. 개인정보위는 유출 통지 과정에서도 휴대전화번호와 계좌번호 등 주요 항목을 누락했다고 판단했다. 이에 따라 개인정보 보호 체계 전반에 대한 시정명령과 함께 책임자 징계를 권고하고, 처분 결과를 1년간 공표하도록 했다.

민간 부문에서는 반복적인 로그인 공격에 대한 대응이 미흡했던 티머니가 제재를 받았다. 개인정보위는 ‘티머니 카드&페이’ 웹사이트에서 크리덴셜 스터핑 공격을 차단하지 못해 지난해 3월 5만1691명의 개인정보가 유출된 점을 문제로 봤다. 일부 계정에서는 잔여 마일리지가 탈취되는 2차 피해도 발생했다. 개인정보위는 티머니에 과징금 5억3400만원을 부과하고 재발 방지 대책 수립과 공표를 명령했다.

엔에이치엔커머스는 구형 쇼핑몰 솔루션 ‘e나무’에서 발생한 개인정보 유출 사고로 과징금 870만원과 과태료 450만원을 부과받았다. 해당 솔루션의 장바구니 페이지에서 SQL 인젝션 공격이 발생해 17개 이용사업자의 쇼핑몰에서 주문자 개인정보 122건이 유출됐다. 개인정보위는 엔에이치엔커머스가 안전조치 의무를 이행하지 않았고, 정보주체에 대한 유출 통지도 적시에 완료하지 못했다고 판단했다. 아울러 기존 이용사업자에 대한 대체 솔루션 제공과 웹사이트 이전 지원을 개선 권고했다.

개인정보위는 공공기관과 민간 사업자 모두에서 기본적인 취약점 점검과 이상행위 대응이 이뤄지지 않아 사고가 확대됐다고 보고, 장기간 운영된 시스템과 구형 솔루션에 대한 보안 관리 강화를 당부했다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network