[서울=뉴시스]윤현성 기자 = 채용·헤드헌팅 플랫폼 '레쥬메나인(RESUME9)'에서 개인정보 유출 사고가 발생했다. 일부 회원정보가 외부에서 권한 없이 조회됐고, 이력서 등 관련 파일에 접근할 수 있는 다운로드 주소가 외부 요청에 따라 발급된 사실도 확인됐다. 다만 실제 이력서 파일이 외부로 다운로드됐는지는 현재 조사 중이다.

14일 업계에 따르면 레쥬메나인은 최근 이용자들에게 개인정보 유출 사실을 안내하고 개별 유출 여부를 확인할 수 있는 조회 서비스를 열었다.

레쥬메나인에 따르면 지난달 19일 오전 2시14분부터 2시39분까지, 이달 7일 오전 7시29분부터 7시55분까지 일부 서버에 비정상적인 외부 접근이 발생했다. 이 과정에서 일부 회원정보가 권한 없이 조회된 사실이 확인됐다.

이어 이달 7일 오전 8시7분부터 오후 3시1분까지는 이력서·개인정보 관련 파일에 접근할 수 있는 다운로드 URL이 외부 요청에 의해 발급된 기록도 발견됐다.

해당 파일에는 회원에 따라 이름, 연락처, 생년월일, 주소, 사진, 학력 및 경력 등의 개인정보가 담겨 있을 수 있다. 레쥬메나인은 비밀번호와 결제·계좌 정보는 현재까지 확인된 유출 범위에는 포함되지 않았다고 밝혔다.

현재 레쥬메나인은 이용자가 로그인이나 휴대전화 본인인증을 거쳐 자신의 개인정보 유출 여부와 항목을 개별적으로 확인할 수 있도록 하고 있다. 다만 현재 공개된 안내에는 전체 유출 대상자 규모가 적시되지 않았다.

회사 측은 사고 인지 이후 관련 서버 기능의 외부 접근을 차단하고 로그인·권한 검증 기능을 보완했다고 설명했다. 자동로그인 관련 정보도 무효화했으며 외부 접근 기록 분석과 추가 취약점 점검을 진행 중이다.

뉴시스 취재에 따르면 한 이용자는 약 3년 전 레쥬메나인에 이력서를 등록했으며, 당시 개인정보 제3자 제공 동의서에는 개인정보 보유·이용기간이 '만 1년 또는 삭제 요청 시까지'로 명시돼 있었다. 그러나 이 이용자는 이번 사고로 유출 여부 조회를 한 결과 개인정보 유출 대상에 포함됐다고 밝혔다.

최근 들어 결혼·채용 서비스처럼 한 개인의 신상과 경력 등 민감도가 높은 정보를 대량으로 다루는 플랫폼에서 개인정보 유출 사고가 잇따르고 있다. 지난해 채용 플랫폼 인쿠루트에 이어 올해 4월에는 결혼중개업체인 듀오정보가 개인정보 유출사고를 당했다. 개인정보위는 듀오정보 등에 대한 제재 당시 결혼중개·채용 서비스처럼 정보주체로부터 대량의 민감한 정보를 수집하는 사업자를 대상으로 개인정보 처리 실태를 지속적으로 점검하겠다고 밝힌 바 있다.

레쥬메나인은 현재 이력서 파일의 실제 다운로드 여부를 조사하고 있으며 추가 확인되는 내용은 이용자들에게 안내한다는 방침이다. 공식 유출 조회 페이지에서도 일부 회원정보의 무단 조회와 일부 이력서 파일 다운로드 주소의 외부 발급 사실을 명시하고 있다.

◎공감언론 뉴시스 [email protected]

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지