배달 앱 '배달의민족'을 운영하는 우아한형제들에서 고객센터 외주업체 상담사가 고객 개인정보를 몰래 조회해 유출한 사건이 발생했습니다. 이 상담사는 사적 보복을 대행하는 조직의 일원으로 일부러 상담사로 취업한 뒤, 빼낸 고객의 이름과 주소 정보를 조직에 넘겼고, 조직은 이를 이용해 피해자 집 앞에 오물을 뿌리고 래커로 욕설을 쓰는 범죄를 저질렀습니다. 개인정보보호위원회는 조사 결과 개인정보가 무단으로 조회·유출된 사실은 인정했지만, 우아한형제들이 법적으로 요구되는 안전조치 의무를 어겼다고 보기는 어렵다며 과징금이나 시정명령보다 낮은 수준인 '개선 권고'만 내렸습니다. 우아한형제들은 사건 인지 후 신고와 수사 협조, 외주업체 계약 해지, 보안 점검 항목 확대(31개→53개), 상담 시 개인정보 조회 방식 제한, 워터마크 적용 등 재발 방지 조치를 시행했다고 밝혔습니다.
배달의민족 고객센터 외주 상담사가 사적 보복 대행 조직원으로 위장 취업해 고객의 이름·주소 등 개인정보를 무단 조회·유출했다.
유출된 개인정보가 실제 보복 범죄(피해자 주거지 오물 투척, 래커 낙서)에 악용됐다.
외주 협력사 상담사의 개인정보 조회·열람 권한 관리 및 모니터링 체계의 허점이 악용됐다.
개인정보위는 법 위반으로 보기 어렵다고 보고 '개선 권고'를 의결했으며, 우아한형제들은 외주업체 계약 해지, 보안점검 체크리스트 확대, 조회 방식 제한, 워터마크 적용, 월간 보안점검 체계 및 모의침투테스트 도입 등을 시행했다.
외주·수탁사를 통한 개인정보 접근 권한은 최소화·세분화하고, 조회 이력 모니터링과 정기 보안 감사 체계를 갖춰야 유사 사고를 예방할 수 있다.
본문
배달의민족 운영사 우아한형제들이 고객센터 외주 협력사 상담사의 개인정보 무단 조회·유출 사건과 관련해 개인정보보호위원회로부터 개인정보보호법 위반으로 보기 어렵다는 판단을 받았다.
1일 관련업계에 따르면 개인정보위는 개인정보 무단 조회와 유출 정황은 인정하면서도 우아한형제들이 개인정보보호법상 안전조치 의무 등을 위반했다고 보기는 어렵다고 판단했다. 이에 지난 9월 9일 전체회의에서 우아한형제들에 '개선 권고'를 의결했다.
해당 사건은 사적 보복 대행 조직이 조직원을 배민 고객센터 외주 협력사에 상담사로 위장 취업시킨 뒤 이름과 주소 등 고객정보를 무단 조회·유출한 사건이다. 조직은 확보한 정보를 이용해 피해자 주거지 현관에 오물을 묻히고 래커로 욕설을 쓰는 등의 범행을 저질렀다.
(사진=우아한형제들)
개인정보위는 다만 우아한형제들이 안전조치 의무 등 개인정보보호법을 위반했다고 보기는 어렵다고 판단했다. 이에 지난 9월 9일 전체회의에서 우아한형제들에 대해 '개선 권고'를 의결했다.
개선 권고는 시정권고·시정명령이나 과징금 부과보다 낮은 수준의 조치다.
우아한형제들은 사건을 인지한 직후 개인정보 악용 사실을 개인정보위에 신고하고 경찰 수사에도 협조했다고 설명했다. 문제가 발생한 외주업체에 대해서는 전수 감사를 진행한 뒤 계약을 해지했다.
이후 전체 수탁사를 대상으로 보안 점검도 강화했다. 기존 31개였던 점검 체크리스트를 53개 항목으로 늘리고 사고 모의훈련과 재발방지 대책, 데이터손실방지(DLP)·네트워크접근제어(NAC) 적용 현황, 디스크 폐기 이력 등을 점검 항목에 추가했다.
상담사의 개인정보 조회 방식도 변경했다. 개인정보 조회가 가능한 기간을 줄이고 상담 중 주문내역을 확인할 때는 전화번호가 아닌 주문번호로만 조회할 수 있도록 했다.
기존 다운로드·외부 전송 차단에 더해 상담 화면에는 워터마크를 적용했다. 고객센터 업무 계약 시 작성하는 정보보호 합의서 내용을 보완하고 신규 상담센터 개설 시 개인정보 보호 사항을 사전에 점검하는 절차도 강화했다.
수탁사별 월간 보안점검 보고 체계도 마련했다. 이와 함께 모의 침투 테스트와 개인정보 모니터링, 보안관제를 추가로 도입했다.
우아한형제들 관계자는 "이용자의 소중한 개인정보를 보호하기 위한 조치를 꾸준히 강화해 나가겠다"고 말했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
