몽클레르, 23만명 개인정보 유출에 8천만원대 과징금…보안관리 부실 드러나

이중 인증 미비·통지 지연 등 법 위반 다수 확인
개인정보위 “OTP 등 안전 인증수단 반드시 도입해야”

 

고학수 개인정보보호위원회 위원장이 10일 서울 종로구 정부서울청사에서 제20회 개인정보보호위원회(개인정보위) 전체회의에 참석해 개회하며 의사봉울 드드리고 있다. [사진=뉴시스]

글로벌 명품 브랜드 몽클레르가 2021년 말 발생한 개인정보 유출 사고와 관련해 국내 개인정보보호법을 위반한 사실이 드러나면서 총 8,821만원(과징금 8,101만원·과태료 720만원)의 행정처분을 받았다.

개인정보보호위원회는 9월 10일 전체회의에서 해당 처분을 의결하고, 몽클레르의 개인정보보호법 위반 사실을 공식 공표하기로 했다고 밝혔다.

사건의 발단은 2021년 12월 몽클레르의 개인정보처리시스템이 해킹당하면서 시작됐다. 공격자는 관리자 권한을 가진 직원의 계정을 사전에 탈취해 도메인 컨트롤러 서버에 악성코드를 배포, 약 23만명의 고객 개인정보를 유출한 뒤 데이터를 암호화했다.

유출된 정보에는 성명, 생년월일, 이메일, 신용카드 번호, 배송 방식, 소비자 쇼핑 특성, 신체사이즈 등 민감한 구매 관련 정보까지 포함돼 있었다.

몽클레르는 이 사실을 2022년 1월 17일에 인지했으며, 법정기한 내에는 위원회에 신고했지만 이용자 통지는 24시간을 초과해 늦어진 것으로 확인됐다.

개인정보위는 조사 결과, 몽클레르가 관리자 페이지 접근 시 ‘아이디·비밀번호’ 외에 일회용 비밀번호(OTP) 등 안전한 추가 인증 수단을 적용하지 않은 점도 법 위반에 해당된다고 지적했다.

현행 ‘정보통신망법’과 ‘개인정보 보호법’에 따르면, 개인정보처리자는 관리자 계정으로 시스템에 접근할 때 반드시 이중 인증을 도입해야 한다. 이는 해킹, 계정 탈취 사고 예방을 위한 최소한의 보안 기준이다.

개인정보위는 "기업의 보안 인식 제고가 시급하며, 이 같은 기본적인 보안 조치 미이행은 수많은 이용자에게 피해를 줄 수 있다"고 강조했다.

 

 

 

 

몽클레르, 23만명 개인정보 유출에 8천만원대 과징금…보안관리 부실 드러나 - 스페셜경제