[디지털데일리 김보민기자] 개인정보보호 법규를 위반한 테라스타(구 에이쓰리글로벌)과 아이스트로가 당국 제재를 받았다.

개인정보보호위원회(이하 개인정보위)는 테라스타에 과징금 500만원과 과태료 300만원, 아이스트로에 과태료 480만원을 부과하기로 의결했다고 25일 밝혔다. 테라스타는 화장품 등 생활필수품을 판매하는 통신판매업자이고, 아이스트로는 제빙기 등 냉동식품 기기를 제조하는 업체다.

테라스타는 2023년 11월 해커 공격으로 운영 중인 쇼핑몰 서버가 랜섬웨어에 감염됐다. 해커는 서버 내 파일을 암호화하고 확장자를 변경해, 시스템 운영을 중단시킨 뒤 협박 메시지(랜섬노트)를 남겼다.

테라스타가 운영 중이던 쇼핑몰은 900여명 회원이 가입돼 있었다. 훼손된 정보로는 성명, 생년월일, 성별, 휴대전화번호 등이 있었다. 이후 테라스타는 웹서버 등 홈페이지를 신규 구축하고, 회원가입을 새로 받아 시스템을 재가동한 것으로 확인됐다.

개인정보위 조사 결과, 테라스타는 쇼핑몰 운영 서버에 보안 업데이트 서비스가 종료된 윈도 운영체제를 사용하고 있었다. 방화벽이나 백신 프로그램을 설치·운영하지 않았고, 비밀번호·계좌번호 등을 암호화하지 않고 저장한 사실도 확인됐다.

아이스트로 또한 해커 위협에 대응하지 못했다. 해커는 아이스트로가 운영 중이던 내부 업무관리시스템에 접근해 관리자용 계정을 생성하고, 2024년 6월 업무관리시스템을 운영하던 서버 내 데이터 파일을 암호화한 후 랜섬노트를 남겼다.

아이스트로가 운영 중이던 업무관리시스템은 임직원과 거래처 직원 1991명의 개인정보가 포함돼 있었다. 아이스트로는 사고를 인지한 후 그룹 백업자료를 이용해 시스템과 데이터를 복구하고 서비스를 정상화했다. 개인정보위는 이러한 점을 고려해 과징금을 부과하지 않기로 의결했다.

다만 아이스트로가 업무관리시스템 서버 내 데이터베이스(DB) 접속 정보를 텍스트 파일에 암호 설정 없이 보관하고 있었고, 임직원 등 주민등록번호를 처리하면서 취급자 DB 접속 기록을 2년 이상 저장하거나 관리하지 않은 사실을 확인해 과태료를 부과하기로 했다.

한편 개인정보위는 랜섬웨어 시도가 빈발하고 있는 만큼, 모든 개인정보처리자가 경각심을 갖고 서버 운영체제와 소프트웨어(SW) 등 최신 보안패치를 적용해야 한다고 강조했다. 백신 SW로 악성코드 검사를 수행하고, 개인정보 DB 등 주요 파일을 별도 백업·보관해야 한다고 당부했다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -