매크로 공격에 16만명 개인정보 유출 ‘알집’…법원 “과징금 1억 정당”

-중국 해커 IP 변경해가며 2억 회 이상 로그인해도 침입 인지 못해 -법원 “이용자 개인정보 유출하면 과징금 부과 등 시정명령 가능”

[헤럴드경제=이민경 기자] 회원 16만 명의 개인정보가 유출된 이스트소프트(알집)에 과징금 부과 및 시정조치 처분을 내린 것이 정당하다는 판결이 나왔다.

서울행정법원 제2부(부장 이정민)는 이스트소프트가 방송통신위원회를 상대로 낸 시정조치등 취소청구 소송에서 원고 패소 판결했다고 30일 밝혔다.

재판부는 “총 접속기록 2억261만여 건의 대량 해킹 시도가 있었고, 그 중 81%에 해당하는 1억6504만여 건의 접속 실패 기록이 있었다”며 “이스트소프트가 접속 로그기록을 확인했다면 해커의 침입을 쉽게 확인할 수 있었을 것”이라고 지적했다. 그러면서 “2016년에도 같은 방식의 공격을 받은 전력이 있음에도 침입탐지시스템 등을 점검하지 않았다”고 덧붙였다.

재판부는 이어 “100만 명 이상 이용자의 개인정보를 관리하고 있었고, 등록된 중요정보가 수천만 건 이상이었던 점, 정보통신서비스 매출이 100억 원 이상인 점에 비추어 이스트소프트에 사회통념상 보다 높은 수준의 보호조치가 기대된다”고 강조했다.

앞서 2017년 중국 국적 해커인 조 모 씨는 IP를 변경해가며 봇(bot)을 이용해 알툴즈를 해킹했다. 알툴즈는 ‘알약’과 ‘알집’ 등을 내려받을 수 있는 이스트소프트사의 사이트다. 조 씨는 사전(dictionary)처럼 만들어둔 예상 비밀번호를 자동 대입하는 소위 ‘매크로’ 방식을 활용해 알툴즈 회원 총 16만6179 명의 개인정보 2546만여 건을 유출시켰다.

방송통신위원회는 2018년 이같은 사실을 인지하고 이스트소프트에 정보통신망법 위반 등을 이유로 개인정보 보호 조치 강화 및 과징금 1억1200만 원, 과태료 1000만 원의 처분을 내렸다.

이스트소프트는 이에 불복해 소송을 제기하며 ‘회원정보가 유출되기는 했지만 이는 아이디와 패스워드를 입력하여 정상적인 로그인 절차를 거쳐 로그인된 것일 뿐 그 외의 불법 경로로 무단 침입된 것은 아니’라는 주장을 폈다. 또 ‘로그인 단계의 웹사이트는 내밀한 개인정보처리시스템에 해당하지 않는다’고 회피했다.

하지만 재판부는 “해커가 사전 대입공격을 통해 개인정보에 접근한 행위는 침입행위에 해당한다”며 “이용자의 개인정보가 분실ㆍ도난ㆍ유출됐다면 시정명령 및 그에 대한 과징금 부과 요건을 충족한다”고 판단했다.