국회의원 박선숙 보도자료 2018년10월29일
주 제	2018년도 과학기술정보방송통신위원회 국정감사 뒤늦은 개인정보 유출 조사로 52억원 과징금 부과를 포기한 방통위
문 의	Tel:784-2390, 2391 / Fax:788-0139 김형민 보좌관

뒤늦게 조사착수, 접속기록 보관기간 종료 이유로 과징금 면제

작년 ‘여기어때’ 정보유출 해커, 8개 업체에서 개인정보 290만 건 추가 유출

조사결과 “침입차단·탐지 시스템 미설치” 확인하고도 ‘해킹경로 미확인’만 주장

‘경찰과 함께 해커 검거했다’던 방통위, ‘경찰 통보 늦어 조사도 늦었다’ 주장

해킹에 의한 정보유출에도 ‘해킹경로 입증할 접속기록 없다’고 과징금 미부과

‘여기어때’ 과징금 부과 기준 적용하면, 8개 업체에 최소 52억 과징금 면제

□ 8개 업체의 개인정보 유출 현황

〇 2017년3월 숙박앱 ‘여기어때’를 해킹하여 개인정보를 유출했던 해커가 당시에 다른 인터넷 사이트도 해킹하여 8개 업체의 개인정보 290만 건을 유출했던 사실이 드러났음

* 당시 ‘여기어때’는 97만 명의 정보 유출(방통위 2017.9.8. 보도자료)

〇 8개 업체 290만 건은 이용자 기준으로, 여행(4), 보험, 자동차용품, 경마정보, 쇼핑몰 솔류션 등 각기 성격이 다른 사이트이므로 정보의 중복 건수는 제한적일 것으로 추정.

- 유출된 정보는 아이디, 이름, 생년월일, 성별, 이메일, 휴대전화번호는 물론이고, 주소, 회사주소, 여권번호, 그리고 일부 업체에서는 주민등록번호와 은행명, 계좌번호까지 유출된 것으로 확인됨.

<표 1. 8개 업체 개입정보 유출 현황>

(단위 백만 원, 건수)

사업자	업종	매출액	유출개인정보	유출된 항목
㈜네이버네트워크	여행사	2,007	55,351	아이디,성명,영문이름,생년월일,성별,이메일,휴대전화번호,주소,결혼여부 등
㈜에이플러스에셋어드바이저	보험대리점	196,302	4,075	아이디,성명,비밀번호,생년월일,이메일,집주소,휴대전화번호,집전화번호
㈜엔비즈소프트	쇼핑솔루션	340	1,937,799	성명,아이디,생년월일,이메일,전화번호,주소 등
㈜제이씨커뮤니케이션	여행사	4,165	479,002	성명,주민등록번호,집주소,회사주소,집전화번호,휴대전화번호,은행명,계좌번호,여권번호,이메일
제이씨현시스템㈜	자동차용품	229,175	20,732	아이디,성명,이메일,집전화번호,휴대전화번호,집주소
㈜지에이엠	경마정보	1,339	73,776	이름,아이디,통신사,휴대전화번호
컨텐츠월드㈜	여행사	1,238	124,546	아이디,비밀번호,주민등록번호,성명,이메일,집전화번호,휴대전화번호,집주소,성별,생년월일
㈜투어로	여행사	2,681	201,686	아이디,비밀번호,성명,주민등록번호,집주소,집전화번호,휴대전화번호,이메일,여권번호
계		437,247	2,896,967

* 2018. 7.11 방송통신위원회 전체회의 제출자료 「개인정보보호 법규 위반사업자에 대한 시정조치에 관한 건」 내용 재구성

〇 ‘여기어때’의 97만 건 개인정보 유출에 대해 과징금 3억100만원을 부과했던 방통위가 ㈜투어로 등 8개 업체 290만 건 개인정보 유출에 대해서는 ‘접속기록이 없어 해킹 경로를 알 수 없다’는 이유로 과징금 미부과.

1. 법 조항을 왜곡하고 조사결과를 부정하는 방통위

⑴ 방통위 주장 과징금 미부과 사유

〇 방통위는 주민등록번호와 은행계좌 정보까지 유출된 사실을 확인하고도 ‘접속기록이 없다’는 이유로 최소 52억 원(‘여기어때’ 과징금 부과 기준)에서 최대 131억 원(법정 최대 부과 기준)에 해당되는 과징금을 전혀 부과하지 않고 단지 과태료 2억 원만 부과했음.

- 2018.7.11. 방통위, 이용자 개인정보를 해킹당한 8개 사업자에게 과징금 없이 과태료만 2억 원 부과.

“개인정보 유출 원인과 경로를 파악할 수 있는 ‘접속기록과 로그기록이 존재하지 않아 유출경로와 시기를 명확히 알 수 없는 점‘을 고려하여 과징금 미부과”(7.11 제25차 방송통신위원회 속기록).

〇 박선숙 의원은 지난 10월11일 국정감사에서 ‘접속기록이 없다’는 이유로 과징금을 부과하지 않은 점을 지적하고 구체적인 근거를 제시하라고 요구한 바 있음.

〇 이후 방통위는 서면답변을 통해 ‘개인정보가 유출됐다는 사실만으로는 과징금을 부과할 수 없으며’, 이번 사건처럼 ‘해킹에 의한 개인정보 유출’은 대법원 판례 등을 근거로 ‘해킹 사실을 입증하는 해킹의 경로나 개인정보 유출경로를 알 수 있는 접속기록’이 있어야 한다고 주장.

- 해킹사건에 과징금부과처분을 내리기 위해서는 해킹의 결과뿐 아니라 해킹의 경로나 개인정보의 유출 경로까지 입증할 필요가 있고 법원도 소송에서 이러한 증거자료를 요구하고 있는 점을 고려

10.25 방통위, 의원실 제출 자료 중

〇 7.11 처분당시에도 개인정보를 유출한 8개사에 대해서는 ‘개인정보 유출 원인과 경로를 파악할 수 있는 접속기록과 로그기록이 존재하지 않아 유출경로와 시기를 명확히 알 수 없는 점’을 이유로 과징금을 부과하지 않겠다는 의견을 제시한 바 있음.

⑵ 조사 대상은 ‘해킹의 경로’가 아닌 ‘침입차단·탐지시스템 설치 유무’

〇 정보통신망법은 해킹으로 개인정보가 분실·도난·유출된 사실을 안 때에는 24시간 안에 신고하도록 규정하고 있고, 이와 별도로 동법 제28조제1항은 개인정보의 분실·도난·유출·위조 등을 방지하기 위한 기술적·관리적 조치를 취하도록 규정하고 있음.

정보통신망 이용촉진 및 정보보호 등에 관한 법률

제28조(개인정보의 보호조치) ① 정보통신서비스 제공자등이 개인정보를 처리할 때에는 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 대통령령으로 정하는 기준에 따라 다음 각 호의 기술적·관리적 조치를 하여야 한다.

1. 개인정보를 안전하게 처리하기 위한 내부관리계획의 수립·시행

2. 개인정보에 대한 불법적인 접근을 차단하기 위한 침입차단시스템 등 접근 통제장치의 설치·운영

3. 접속기록의 위조·변조 방지를 위한 조치

4. 개인정보를 안전하게 저장·전송할 수 있는 암호화기술 등을 이용한 보안조치

5. 백신 소프트웨어의 설치·운영 등 컴퓨터바이러스에 의한 침해 방지조치

6. 그 밖에 개인정보의 안전성 확보를 위하여 필요한 보호조치

〇 해킹으로 개인정보가 유출된 사실 조사에서 필요한 것은 ‘유출을 차단하고 탐지할 수 있는 시스템 설치 유무일 뿐, 방통위가 주장하는 것처럼 ‘유출 경로를 알 수 있는 접속기록’이 아님.

〇 방통위가 주장한 ‘해킹으로 부당하게 개인정보를 유출했다는 사실을 입증하기 위한 접속기록 확보’ 등은 해커를 처벌하기 위해 경찰청에게 필요한 것이지, 침입차단·탐지 시스템 설치 유무를 따져야 하는 방통위의 역할이 아님.

- 해커에 의한 개인정보 유출이 발생하지 않아도 침입차단·탐지 시스템을 설치하지 않았다면 법을 위반한 것임.

⑶ 침입차단·방지 시스템 미설치 업체에 대해 ‘해킹 경로 미확인’이유로 과징금 면제

〇 조사를 담당한 중앙전파관리소*는 개인정보를 유출한 8개 사업자 모두 개인정보처리시스템에 불법적인 접근을 차단하기 위한 침입차단 및 침입탐지시스템을 설치·운영하지 않은 사실을 적발.

* 개인정보 유출사건을 중앙전파관리소가 담당한 것 자체도 문제가 있음(자세한 내요은 후술함).

먼저 시스템 ‘설치’ 의무에 대하여 살펴보면, 정보통신서비스 제공자등은 ① 접속권한을 IP주소 등으로 제한하여 비인가 접근을 ‘차단’하는 기능(침입차단 기능)과 함께 ②개인정보처리스템에 접속한 IP주소 등을 재분석하여 불법유출 시도를 ‘탐지’하는 기능(침입탐지기능)을 보유한 시스템을 설치하여야 한다.

피심인이 2018.2.27. 현재 운영 중인 개인정보처리시스템에 대한 불법적인 접근을 차단하기 위한 침입차단시스템 및 접속한 IP주소 등을 재분석하여 불법적인 개인정보 유출시도를 탐지하는 기능을 포함한 침입탐지시스템을 설치·운영하지 않은 행위는 정보통신망법 제28조제1항제2호, 같은 법 시행령 제15조제2항제2호, 고시 제4조제5항을 위반한 것이다.

7.11 전체회의 제출 「개인정보보호 법규 위반 사업자에 대한 시정조치에 관한 건」 붙임자료 ‘피심인별 정보통신망법 위반 세부내역(각 업체별 조사결과 보고서)’ 의결(다/붙임1)-12

- 업체별로 일부 표현의 차이는 있지만 공통 내용(침입차단 및 침입탐지 시스템 미설치 등 지적하고 법 제28조제1항제2호 위반 사실 명시)

〇 이렇듯 각 업체 개별 조사 결과 보고서는 8개 업체가 ‘침입차단·탐지 기능 시스템을 설치하지 않아 법 제28조제1항제2호를 위반’한 사실을 분명하게 지적하고 있는 상황에서도, 방송위는 해킹의 경로를 알 수 없어 과징금을 부과하지 않았다는 주장을 거듭 하고 있음

(방통위 심결내용) 네이버네트워크 등 8개사의 경우 해커가 해당DB를 입수한 시점 및 경위, 유출시점의 접속기록 등을 확인할 수 없어, 개인정보가 유출된 경로 및 원인을 파악하는 것이 어렵고,

- 개인정보 보호조치 위반과 유출의 관련성 등을 방통위가 입증할 수 없어 과징금을 부과하지 않고 시정명령으로 갈음

10.11 국정감사에서 과징금 미부과 지적에 대한 방통위의 ‘서면답변’

〇 법 제28조제1항제2호 ‘개인정보에 대한 불법적인 접근을 차단하기 위한 침입차단시스템 등 접근 통제장치의 설치·운영’은 해킹 경로나 접속기록 보관 여부와 무관한 별도의 조항임에도 불구하고, 방통위가 법 조항 적용과 해석을 왜곡하고 조사결과까지 부정하는 이유에 대해서는 감사원 감사를 통해 밝혀낼 수밖에 없음.

※ 방통위는 법률 자문 결과 과징금을 부과하지 않은 처분이 정당하다고 주장하나, 법률자문 요청서는 ‘유출 원인과 경로를 알 수 없다’는 것을 전제로 할 뿐, 조사보고서가 ‘침입차단과 침입탐지 시스템 미설치’를 지적하고 있는 결과를 전혀 언급하지 않았기 때문에 별 의미가 없음

2. 경찰과 함께 해커검거 했다는 방통위, 경찰청 통보받은 이후 조사 착수

⑴ 해킹 경로인 접속기록이 없다는 방통위 주장의 근거

〇 접속기록이 없는 이유에 대해 방통위는 ‘경찰청이 개인정보 유출 사실을 통보한 시점이 해커가 검거된 지 6개월이 경과된 2018년1월’이고, 방통위가 조사에 착수한 2월22일에는 고시에서 정한 ‘접속기록 최소 보존·관리기간’인 6개월*이 이미 지나서 ‘해킹에 의한 정보유출’을 입증할 ‘접속기록’이 없어 과징금을 부과할 수 없었다고 해명

* 「개인정보의 기술적·관리적 보호조치 기준」(방통위 고시, 이하 「고시」) 제5조(접속기록의 위·변조방지) ① 정보통신서비스 제공자등은 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상 정기적으로 확인·감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 6개월 이상 접속기록을 보존·관리하여야 한다.

방송통신위원회, 2018.10.25. 의원실 설명자료 중

〇 경찰이 이미 해킹과 개인정보 유출을 확인하여 방통위에 통보한 것 자체가 ‘해킹에 의한 정보유출’은 입증이 된 것이라는 기초적인 사실은 별건으로 하더라도,

- 해킹에 의한 개인정보 유출 조사와 해커의 검거 등에 방통위 자신이 관여했다는 점을 고려할 때, 방통위의 주장은 책임회피는 물론이고 직무를 유기했다는 지적을 피할 수 없음

⑴ 경찰과 함께 해커는 검거했지만 해커의 다른 개인정보 유출은 몰랐다

〇 2017.3.7 숙박앱 ‘여기어때’ 해킹 사건 발생하고, 3.23 방통위·과기정통부(당시 미래부), 인터넷진흥원 및 민간 전문가로 「민·관합동조사단」 구성

- 방통위는 사건 발생 초기부터 ‘여기어때’ 운영업체 해킹 사건 조사에 참여

〇 2017.6.1. 경찰은 해커와 해커 알선책 등 4명 검거사실 발표

- 방통위가 ‘여기어때’ 업체의 개인정보 유출 조사 참여뿐 아니라, 해커 검거를 위해 경찰을 지원한 사실은 방통위의 속기록에서 확인

- 방통위 개인정보침해조사과장은 ‘여기어때’ 운영업체에 대한 제재를 심의의결하는 전체회의에서 ‘방통위가 경찰과 조사해서 해커를 검거’했다고 주장(7.11 제25차 방송통신위원회 속기록)

〇 천지현 개인정보침해조사과장

- 그런데 조사에 협조한 경우에는 유출되고 나서 자진신고를 했고, 자진신고를 빨리 했기 때문에 저희가 경찰청과 조사해서 해커를 검거한 것들은 조금 판단해 주셔야 하지 않을까 싶습니다.

‘여기어때’ 개인정보유출 사건 심의, 2017. 7.11 제25차 방송통신위원회 속기록 23쪽

〇 그런데도 경찰청과 함께 조사해서 해커를 검거했다던 방통위는

- 경찰청이 해커의 다른 업체 해킹 결과를 2018년1월에야 통보했기 때문에 조사는 2월22일에야 착수했다는 것이며,

- 조사착수 6개월 전인 2017년8월21일까지만 로그기록이 보관되어 해킹사실을 입증할 수 있는 로그기록 등의 보관 기록을 찾을 수 없어서 과징금을 부과할 수 없다는 것

⑵ 경찰만 알고 방통위는 몰랐던 사실, 다른 업체의 개인정보 유출도 있었다

〇 경찰은 6.1 ‘여기어때’ 해커 검거 보도자료에서 다수의 인터넷 홈페이지에 유출한 개인정보파일이 다수 발견된 사실도 적시

〇  피의자들을 체포하고 관련 자료를 압수하면서 ‘여기어때’로부터 유출된 개인정보 원본파일을 모두 압수하였으며, 특히 중국인 해커 E의 하드디스크 등에서는 본 건 개인정보 파일 외에도 다수의 인터넷 홈페이지에 유출한 개인정보파일이 다수 발견되어 추가 수사를 검토 중이며,

…

※ ①전자 우편(19회) ②고객센터 게시판 글 게시(2회) ③이용자들에게 문자메시지(4,713건) 발송 ④ 페이스 북에 유출 개인정보(5천 건) 게시

- 2017.6.2. 경찰청 브리핑 자료 「‘여기어때’ 해킹 및 공갈 피의자 일당 검거」

〇 해커가 다른 업체의 개인정보도 해킹했다는 사실을 2018.1 경찰청 통보 이후에야 알았다는 방통위 주장을 그대로 인정한다고 해도, ‘페이스북에 정보 유출’ 사실도 꼼꼼히 보았던 방통위가 유독 ‘인터넷 사이트의 개인정보 유출 사실’만을 몰랐다는 것

〇 김재영 이용자정책국장

- … 참고로 경찰은 6월 1일 해커 1명, 해커 알선책 2명 등 총 4명을 검거했다는 사실을 발표한 바가 있습니다. 조사결과입니다. 먼저 피심인 일반현황을 보고드리겠습니다.

… 경찰청의 해커 검거 수사 결과 발표에 따르면 해커는 페이스북에 유출 개인정보 약 5,000여건을 게시하는 등 공중에게 공개한 사실도 확인되었습니다 …

2017. 7.11 제25차 방송통신위원회 속기록 - 3

〇 아무리 방통위가 해킹 조사나 해커 검거에 참여하지 않았다고 해도, ‘여기어때’외에도 인터넷 사이트에서 개인정보가 다수 유출된 사실은 2017.6.1. 경찰발표 내용에서 충분히 알 수 있었음

〇 그런데도 2018.1 경찰청 통보 때까지 아무 조치도 하지 않고, ‘접속기록이 없어 과징금을 부과할 수 없다’고 주장하는 것은 방통위의 무능함 혹은 책임방기 외에는 설명할 방법이 없음

3. 법에 정한 기준에 의한 8개 업체에 대한 과징금 부과 가능 금액

〇 ‘여기어때’ 정보유출 당시 방통위는 3억100만원 과징금을 부과

〇 당시 ‘여기어때’ 운영업체의 과징금 부과 기준 매출액은 246억 원으로 과징금 금액은 매출액의 1.2%에 해당

〇 7.11 방통위 전체회의에 제출된 「개인정보보호 법규 위반 사업자에 대한 시정조치에 관한 건」에 따르면 8개 업체의 총 매출액은 437,247백만 원으로 부과율 1.2%를 적용하면 52억 원이며, 법정 한도인 매출액의 3%를 적용하면 131억 원에 달함

4. ‘해킹을 통한 정보유출’조사, 왜 중앙전파관리소인가

〇 8개 업체에 대해 조사를 실시한 ‘중앙전파관리소’

- ㈜네이버네트워크 등 8개사의 경우, 개인정보 유출원인과 경로를 파악할 수 있는 접속기록과 로그기록이 존재하지 않아 유출경로와 시기를 명확히 알 수 없는 점,

※ 경찰청이 ’17.6월 검거한 ‘여기어때’ 해커의 PC에 저장된 유출업체와 건수를 정리한 파일을 ’18년1월에 방통위에 넘겨주고, 중앙전파관리소는 ’18년2월〜3월에 조사 실시

2011.7.11. 제25차 방송통신위원회 제출 안건

「개인정보보호 법규 위반 사업자에 대한 시정조치에 관한 건」(2018.7.11.) ‘의결(다) -10’

〇 정보통신망법 제65조(권한의 위임·위탁)는 방송통신위원회가 법 위반 사항 조사를 ‘인터넷진흥원’에 위탁할 수 있도록 규정하고 있으나, 시행령 제70조(권안의 위임·위탁)은 ‘인터넷진흥원에 접수된 고충처리 및 상담사항만 해당’된다고 명시

- 방통위가 중앙전파관리소에 정보통신망법에 따른 개인정보 유출 조사를 위탁할 수 있는 법적 근거는 어디에도 없으며, 정보통신망법이나 ‘과학기술정보통신부와 그 소속기관 직제규정’에도 중앙전파관리소 업무에 개인정보 침해 관련 조사 업무기 기재되지 않았음

※ 중앙전파관리소가 개인정보침해 사실을 조사한 근거와 경위에 대한 별도의 조사가 필요함

□ 참고 : 사건 관련 일지

2017.3.7 숙박앱 ‘여기어때’ 해킹 사건 발생

2017.3.23 방통위·과기정통부(당시 미래부), 인터넷진흥원 및 민간 전문가로 「민·관합동조사단」 구성

‘개인정보 유출 침해사고에 대한 신속한 대응과 사고원인 분석을 통한 유사 피해 재발 방지 등’을 위해 실시

2017.4.26 합동조사단 조사결과 발표

“방통위는 해당 업체의 개인정보 보호조치 위반 사항에 대해서는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에 따라 과징금 부과 등 행정처분할 예정이며, 조속한 시일 내에 관련 업계를 대상으로 개인정보보호를 위한 교육 및 기술적·관리적 보호 조치 준수 여부에 대한 일제 점검을 추진할 계획이다”

* 민관합동조사단의 실제 조사 기간 3.23〜5.11(9.8 제30차 방송통신위원회 속기록)

2017.6.1 경찰, 해커1명, 해커 알선책 2명 등 검거사실 발표

“관련기관과의 정보공유를 통해 유사사례가 재발되지 않도록 하는 한편, 개인정보를 보관하고 있는 업체에도 취약점 점점 개인정보 보호조치를 강화할 것을 권고함”

2017.9.8 방통위, 숙박앱 여기어때 사업자 ㈜위드이노베이션에 과징금 3억100만원, 과태료 2,500만원 부과

- 방통위 개인정보침해조사과, ‘여기어때 사업자의 자진신고로 방통위가 경찰청과 조사해서 해커 검거한 점’을 고려, 과징금 감경 요청(9.8 제30차 방송통신위원회 속기록)

2018.7.11.  방통위, ‘여기어때’를 해킹한 해커에 의해 개인정보를 해킹당한 8개 사업자에게 과징금 없이 과태료 2억원 부과

“개인정보 유출 원인과 경로를 파악할 수 있는 접속기록과 로그기록이 존재하지 않아 유출경로와 시기를 명확히 알 수 없는 점‘을 고려하여 과징금 미부과”(7.11 제25차 방송통신위원회 속기록 및 「개인정보보호 법규 위반사업자에 대한 시정조치에 관한 건」 등)

2018.10.11. 국회 국정감사에서 과징금 미부과의 부당성 지적

2018.10.25. 방통위, 과징금 미부과 사유를 의원실에 설명

2018.10.29. 방통위 종합국감에서 제출한 자료 등을 토대로 과징금 미부과 사유의 문제점 재지적