"또 개인정보 유출"…개인정보위, 취준생 정보 유출한 '인크루트'에 과징금 4.6억원 부과

CPO 신규 지정 및 재발방지 위한 시정조치 의결

직원PC 악성코드 감염에서 시작

개인정보위, ‘징벌적 과징금’ 도입 검토 [사진=연합뉴스]

개인정보보호위원회(개인정보위)가 개인정보보호 법규를 위반한 인크루트㈜에 과징금을 부과했다.

개인정보위는 전날 전체회의를 열고 인크루트에 4억6300만원의 과징금을 부과하고, 전문 최고개인정보책임자(CPO) 신규 지정 및 피해회복 지원 등 재발방지를 위한 시정조치를 의결했다고 23일 밝혔다.

온라인 취업포털 인크루트는 지난 2월 해킹으로 전체 회원 730만 명의 개인정보가 유출됐다. 개인정보위 조사 결과, 인크루트가 개인정보보호법상 안전조치 의무를 다하지 않은 것으로 드러났다.

해킹은 올해 1월 인크루트 직원의 업무용 PC가 악성코드에 감염되면서 시작됐다. 해커는 이를 통해 데이터베이스(DB) 접속 계정을 탈취하고 내부 시스템에 침투했다. 약 한 달간(1월 19일~2월 23일) 이력서·자기소개서·자격증 사본 등 438GB에 달하는 구직자 정보가 유출됐다.

조사에 따르면 인크루트는 근무시간 외 비정상적인 DB 접속과 대량 트래픽이 발생했음에도 이를 인지하지 못했다. 결국 해커의 협박 메일을 받은 뒤에야 유출 사실을 파악했다. 또한 개인정보취급자의 PC에 인터넷망 차단조치를 하지 않아 민감정보가 외부로 쉽게 빠져나갈 수 있는 구조였다.

인크루트는 이미 2023년에도 크리덴셜 스터핑(다른 사이트에서 유출된 ID·비밀번호 정보를 자동으로 대입해 로그인 시도를 반복하는 기법) 공격으로 3만여 건의 개인정보를 유출해 과징금과 과태료 처분을 받은 전력이 있다. 불과 3년 만에 또다시 대규모 사고가 발생하면서 개인정보위는 “반복적 위반”으로 판단, 법이 허용하는 수준에서 가장 엄정한 제재를 내렸다.

위원회는 과징금 부과와 함께 홈페이지에 처분 사실 공표, 전문 CPO 신규 지정, 피해자 지원 및 재발방지 대책 수립·보고(60일 이내) 등을 명령했다.

개인정보위 관계자는 “인크루트 사건은 취업준비생의 학력·경력·장애·병역 등 민감한 정보가 포함돼 피해 위험이 특히 크다”며 “유출이 반복된 만큼 징벌적 효과를 강화하기 위해 과징금 제도 개선도 추진 중”이라고 밝혔다.