정보통신서비스 제공자가 해커의 사전대입 공격으로 약 166,179명의 개인정보를 유출당함

• 회사는 알툴즈 소프트웨어를 제공하는 정보통신서비스 제공자로, 2017년 6월부터 9월까지 중국 해커가 사전대입 공격을 통해 약 166,179명의 알패스 정보(약 2,546만 건)를 유출했습니다.
• 방송통신위원회는 2017년 9월부터 2018년 1월까지 조사한 결과, 회사가 침입차단시스템과 침입탐지시스템을 적절히 설치·운영하지 않았고, 유출 방지 조치를 소홀히 했다고 판단했습니다.
• 2018년 3월, 방송통신위원회는 회사에 시정명령, 공표명령, 과징금 1억 1,200만 원, 과태료 1,000만 원을 부과했습니다.
• 회사는 해커의 공격이 정상적인 로그인 절차를 통한 것이므로 침입이 아니라고 주장하며, 보호조치를 다했다고 다투며 소송을 제기했습니다.
• 법원은 해커의 사전대입 공격을 침입행위로 보고, 회사가 사회통념상 합리적으로 기대되는 보호조치를 하지 않았다고 판단해 회사의 청구를 기각했습니다.

회사는 해커의 사전대입 공격으로 약 166,179명의 알패스 정보(약 2,546만 건)가 유출되었습니다. 방송통신위원회는 회사가 침입차단시스템과 침입탐지시스템을 제대로 설치·운영하지 않고, 유출 방지 조치를 소홀히 했다며 시정명령, 공표명령, 과징금 1억 1,200만 원 등을 부과했습니다. 회사는 이에 불복해 소송을 냈지만, 법원은 처분이 적법하다고 판단해 회사의 청구를 모두 기각했습니다.

• 법원은 해커의 사전대입 공격이 정상적인 로그인 절차를 가장했지만, 권한 없는 자가 시스템에 접근한 것이므로 '침입행위'에 해당한다고 판단했습니다.
• 회사가 사용한 오픈소스 침입탐지 시스템(Snort)과 기본 방화벽(iptables)은 사업 규모와 개인정보 보유량에 비해 부적절하여, 침입차단시스템과 침입탐지시스템을 제대로 설치했다고 볼 수 없다고 했습니다.
• 회사는 2016년 11월에도 유사한 사전대입 공격을 인지했지만, 비밀번호 초기화, 접속 차단, 캡차 등의 추가 조치를 취하지 않아 이번 유출을 막지 못했습니다.
• 법원은 회사가 전체 접속 기록 중 81%에 달하는 접속 실패 기록(약 1억 6,505만 건)을 분석하지 않아 이상 징후를 발견하지 못한 점을 지적했습니다.
• 따라서 회사가 개인정보 보호조치 의무를 위반했다고 보고, 방송통신위원회의 처분이 적법하다고 결론지었습니다.

이 사건은 정보통신서비스 제공자가 해커의 사전대입 공격에 대비해 적절한 보안 시스템을 갖추고 로그를 분석하는 등 능동적으로 대응해야 할 의무가 있음을 보여줍니다. 특히 이전에 유사 공격을 경험했음에도 추가 조치를 취하지 않으면 법적 책임을 피하기 어렵습니다.