인터넷강의 사이트에서 XSS 공격으로 직원 및 회원 약 9만 5천 명의 개인정보 유출

• 해커가 2024년 1월 12일 인터넷강의 사이트에 크리덴셜 스터핑 공격으로 회원계정을 탈취했다.
• 탈취한 계정으로 1월 15일 '불법이용신고 게시판'에 XSS 명령어가 포함된 게시글을 작성했다.
• 회사 직원이 1월 16일 해당 게시글을 열람하면서 세션정보가 탈취당했다.
• 해커는 탈취한 세션정보로 직원 25명과 회원 95,171명의 개인정보(ID, 이름, 휴대전화번호, 이메일)를 유출했다.
• 회사는 1월 18일 개인정보 유출을 신고했고, 개인정보보호위원회가 조사 후 안전조치의무 위반을 이유로 과징금과 공표명령을 부과했다.

인터넷강의 사이트 운영 회사가 해커의 XSS 공격으로 개인정보를 유출한 사건에서, 법원은 회사가 입력값 검증 등 안전조치를 제대로 하지 않았다고 판단하여 개인정보보호위원회의 과징금 6억 1,300만 원 부과와 공표명령이 적법하다고 결론지었다.

• XSS 공격은 널리 알려진 해킹 기법으로, 입력값 검증은 이를 막는 대표적인 안전조치인데 회사는 불법이용신고 게시판에 이를 적용하지 않았다.
• 입력값 검증은 기술적으로 충분히 구현 가능하고, 다른 인터넷 사이트에서도 적용하는 보편적인 조치이므로 회사가 기대하기 어려운 조치가 아니다.
• 회사가 IP 분석 등 다른 조치를 했다고 해도, XSS 공격 자체를 차단하지 못한 점에서 사회통념상 합리적으로 기대되는 안전조치를 다했다고 볼 수 없다.
• 과징금 산정 시 위반기간은 개인정보 유출 기간이 아니라 안전조치의무를 위반한 기간(2016년부터 2024년까지)으로 보는 것이 타당하다.

이 사건은 개인정보처리자가 XSS 공격 같은 알려진 위협에 대해 기본적인 보안 조치(입력값 검증)를 하지 않으면 안전조치의무 위반으로 과징금을 물 수 있음을 보여준다. 또한 과징금 산정 시 위반기간은 유출 기간이 아닌 조치 위반 기간 전체를 기준으로 한다는 점이 중요하다.