최근 사이버 공격이 고도화되면서 기업의 개인정보 보호 및 안전 조치 의무 준수에 대한 중요성이 더욱 강조되고 있다. 특히 랜섬웨어 공격으로 인한 개인정보 훼손 시, 기업이 어떤 조치를 취했는지에 따라 과징금 부과 여부가 결정되는 사례가 나타나 업계의 주목을 받고 있다. 이러한 추세는 개인정보보호위원회가 9월 24일(수) 개최한 제21회 전체회의에서 ㈜테라스타와 ㈜아이스트로 두 기업에 대한 제재 조치를 통해 명확히 드러났다. 이는 단순한 법규 위반을 넘어, 기업의 적극적인 안전 관리 노력과 신속한 대응 능력이 개인정보 침해 사고 발생 시 기업의 책임과 직결됨을 보여주는 사례라 할 수 있다.
개인정보보호위원회는 ㈜테라스타에 과징금 500만 원과 과태료 300만 원을, ㈜아이스트로에 과태료 480만 원을 각각 부과하는 결정을 내렸다. ㈜테라스타는 ’23. 11. 26.경 해커의 랜섬웨어 공격으로 쇼핑몰 서버가 감염되어 약 900여 명의 회원 개인정보가 훼손되는 피해를 입었다. 개인정보보호위원회 조사 결과, ㈜테라스타는 보안 업데이트 서비스가 종료된 운영체제를 사용하고 있었으며, 방화벽 및 백신 프로그램을 설치·운영하지 않았고, 비밀번호 등 주요 정보를 암호화하지 않고 저장한 사실이 확인되었다. 이러한 중대한 안전 조치 의무 위반으로 인해 개인정보가 훼손되었다고 판단, 과징금 및 과태료를 부과받았다.
반면, ㈜아이스트로는 해커의 내부 업무관리시스템 접근 및 랜섬웨어 공격으로 1,991명의 임직원 및 거래처 직원의 개인정보가 포함된 서버 데이터가 암호화되는 상황을 겪었으나, 사고 인지 즉시 일일 백업 자료를 활용해 시스템과 데이터를 신속하게 복구하고 서비스를 정상화하는 데 성공했다. 이로 인해 개인정보의 효용에 침해가 발생하지 않았다고 판단, 과징금은 부과되지 않았다. 다만, ㈜아이스트로 역시 업무관리시스템 서버 내 DB 접속정보를 암호 설정 없이 텍스트 파일로 보관하고 있었고, 주민등록번호 처리 시 취급자의 DB 접속기록을 2년 이상 저장·관리하지 않은 사실이 추가로 확인되어 480만 원의 과태료를 부과받았다.
이번 개인정보보호위원회의 결정은 랜섬웨어로 인해 개인정보가 접근 불가능한 상태가 된 경우, 단순히 유출 여부와 관계없이 ‘백업 및 신속한 복구 여부, 정상적인 서비스 제공 여부, 그리고 안전 조치 이행 여부’ 등을 종합적으로 고려하여 ‘개인정보 훼손’ 여부를 판단하고 과징금을 부과할 수 있다는 입장을 명확히 한 점에서 큰 의미를 가진다. 특히 ㈜테라스타와 ㈜아이스트로 사례는 기업이 갖추고 있는 백업 시스템의 중요성과 사고 발생 시 신속하고 체계적인 복구 능력의 차이가 법적 책임의 경중을 가를 수 있음을 명확히 보여준다.
최근 랜섬웨어 공격 시도가 빈발하는 상황에서, 개인정보보호위원회는 모든 개인정보처리자가 이러한 위험에 대한 경각심을 가져야 한다고 강조했다. 기업은 개인정보처리시스템의 서버 운영체제 및 소프트웨어에 대한 최신 보안 패치를 적용하고, 백신 프로그램을 통한 악성코드 검사를 철저히 수행해야 한다. 더불어 개인정보 데이터베이스 등 주요 파일은 주기적으로 별도 백업 및 보관하는 등 사이버 공격으로부터 민감 정보를 보호하기 위한 각별한 주의와 노력을 기울여야 할 것이다. 이는 곧 기업의 신뢰도와 직결되는 문제이며, 향후 관련 법규 준수 및 강화된 보안 체계 구축은 기업 경쟁력의 필수 요소가 될 전망이다.
