해커가 사전대입공격으로 알툴즈 이용자의 알패스 정보를 유출하여 피고가 원고에게 시정조치 등을 부과한 사건.

• 2016년 1차 사전대입공격: 해커가 54개 IP로 약 110만 회 로그인 시도, 최소 384,758명 계정 부정접속 의심.
• 2017년 2차 사전대입공격: 해커가 VPN IP를 이용하여 약 2억 회 로그인 시도, 166,179명의 알패스 정보 25,461,263건 유출.
• 원고의 대응: 1차 공격 후 알패스 단독프로그램 종료, 비밀번호 변경 안내, 로그인 횟수 제한 조치 시행.
• 피고의 처분: 2018. 3. 시정조치, 공표명령, 과징금 부과.
• 법원 판단: 침입차단·탐지시스템 설치의무 위반은 인정되지 않으나, 운영의무 위반 및 개인정보 노출방지 조치 의무 위반 인정. 과징금은 재산정 필요.

원고(회사)가 운영하는 알툴즈 서비스에서 해커가 사전대입공격을 통해 이용자의 알패스 정보(외부 사이트 아이디·비밀번호)를 유출했습니다. 이에 피고(개인정보 보호위원회)는 원고에게 침입차단·탐지시스템 설치·운영 의무 위반 등을 이유로 시정조치, 공표명령, 과징금 부과처분을 내렸습니다. 원고는 이에 불복하여 소송을 제기했고, 법원은 침입차단·탐지시스템 설치의무 위반은 인정되지 않지만 운영의무 위반 및 개인정보 노출방지 조치 의무 위반을 인정하여 과징금을 재산정하라고 판결했습니다.

• 침입차단·탐지시스템 설치의무 위반: 원고가 이미 침입차단시스템을 설치하고 있었고, 해커의 공격을 탐지하지 못한 것은 시스템의 설정·관리 문제로 설치의무 위반은 아님.
• 침입차단·탐지시스템 운영의무 위반: 원고가 1차 공격 후에도 로그인 시도 횟수 제한 등 적절한 조치를 취하지 않아 2차 공격을 막지 못했으므로 운영의무 위반.
• 개인정보 노출방지 조치 의무 위반: 원고가 알패스 정보를 암호화하지 않고 저장하여 유출 시 이용자 피해가 발생할 수 있었으므로 위반.
• 과징금 산정: 피고가 과징금을 산정할 때 위반 행위의 정도와 기간 등을 제대로 고려하지 않아 재산정이 필요.

이 사건은 정보통신서비스 제공자가 해커의 사전대입공격에 대비해 침입차단·탐지시스템을 적절히 운영하고, 개인정보를 안전하게 보관할 의무가 있음을 확인한 판결입니다. 특히, 1차 공격 이후에도 추가 조치를 취하지 않으면 운영의무 위반으로 책임을 질 수 있습니다.