해커가 채용정보 사이트에 크리덴셜 스터핑 공격을 가해 35,076명의 개인정보를 열람함

• 회사는 채용정보 사이트를 운영하며 약 890만 명의 개인정보를 수집·보관하고 있었습니다.
• 2020년 9월 29일부터 30일까지 해커가 사이트 로그인 페이지에 크리덴셜 스터핑 공격을 시도했습니다.
• 해커는 36,458명의 계정에 로그인에 성공했고, 이 중 35,076명의 이력서 등 개인정보를 열람했습니다.
• 회사는 이용자의 이메일 신고를 통해 사고를 인지했습니다.
• 개인정보보호위원회는 2022년 3월 조사 후, 회사가 침입탐지시스템(IDS)과 침입방지시스템(IPS)을 제대로 운영하지 않아 공격을 막지 못했다고 판단했습니다.
• 2023년 8월 30일, 위원회는 회사에 과징금 70,609,000원을 부과했고, 회사는 이에 불복해 소송을 제기했습니다.

회사가 운영하는 채용정보 사이트에서 해커의 크리덴셜 스터핑 공격으로 35,076명의 이력서 개인정보가 유출되었습니다. 개인정보보호위원회는 회사가 안전조치 의무를 위반했다며 과징금 70,609,000원을 부과했고, 회사가 이에 불복해 소송을 제기했으나 법원은 과징금 부과가 적법하다고 판단했습니다.

• 법원은 정보통신서비스 제공자가 개인정보 보호를 위해 사회통념상 합리적으로 기대 가능한 수준의 보호조치를 했는지가 기준이라고 판단했습니다.
• 회사가 운영한 침입탐지시스템(IDS)은 HTTPS 복호화 기능이 없어 비정상적인 접속을 제대로 탐지하지 못했습니다.
• 침입방지시스템(IPS)도 공격을 충분히 차단하지 못했고, 회사는 사고 발생 후에야 이를 인지했습니다.
• 사고 후 회사는 로그인 시도 횟수 제한과 휴면계정 해제 시 추가 인증을 도입했는데, 이는 사고 전에도 충분히 가능했던 조치였습니다.
• 따라서 회사가 당시 합리적으로 기대 가능한 보호조치를 다했다고 볼 수 없어 안전조치 의무 위반이 인정됩니다.
• 과징금 산정 과정에서 재량권을 일탈·남용했다고 보기 어려워 처분은 적법합니다.

이 사건은 개인정보처리자가 해킹 공격에 대비해 침입탐지·방지 시스템을 제대로 운영하지 않으면 안전조치 의무 위반으로 과징금을 물 수 있음을 보여줍니다. 특히 크리덴셜 스터핑 같은 자동화 공격에 대비해 로그인 시도 제한 등 기본적인 보안 조치를 사전에 갖추는 것이 중요합니다.