[서울=뉴시스]심지혜 기자 = 잇단 해킹과 개인정보 유출 사고를 낸 기업들이 국회 국정감사에서 집중 질타를 받았다. 고객 민감정보를 지키지 못한 것은 물론 이미 확인된 취약점을 방치하거나 침해 징후를 제때 탐지하지 못하는 등 보안 관리가 제대로 이뤄지지 못했다는 지적이 이어졌다.

6일 국회 과학기술정보방송통신위원회 과학기술정보통신부 국정감사에는 티빙과 LG유플러스, 배달의민족, 토스페이먼츠, 강남언니, 듀오, 쿠팡 등 최근 침해사고와 개인정보 유출을 겪은 기업 관계자들이 증인으로 출석했다.

우선 티빙은 3954만개의 계정정보가 유출되면서 기본적인 보안 관리가 허술했다는 비판을 받았다.

이정헌 더불어민주당 의원은 개발자 접속정보가 소스코드에 암호화되지 않은 채 평문으로 저장된 점과 가상서버를 통해 24GB의 데이터가 빠져나가는 동안 모니터링이 작동하지 않은 점을 문제 삼았다.

이에 최주희 티빙 대표는 "그간 보안에 소홀했음을 여실히 느꼈다"며 고개를 숙였다.

과거 확인된 취약점을 해소하지 않은 점도 비판 받았다. 이훈기 민주당 의원은 티빙이 2014년 모의해킹 과정에서 하드코딩 취약점을 지적받았지만 해당 프로젝트를 중심으로 조치했을 뿐 전반적인 위험을 제거하지 않았다고 꼬집었다.

티빙의 최근 5년간 매출이 155억원에서 4068억원으로 26.2배 늘어난 사이 정보보호 전담인력은 4명에 불과하다는 점도 지적됐다. 최 대표는 "인력이나 투자액을 늘려서 제로트러스트 기반의 글로벌 수준 보안으로 끌어올리도록 총력을 다하겠다"고 답했다.

LG유플러스는 침해사고 이후 서버 조치와 관련해 집중적으로 추궁받았다.

한준호 민주당 의원은 LG유플러스가 7월19일 침해사고 정황을 통보받은 뒤 8월12일 관련 서버의 운영체제(OS)를 재설치한 점을 문제 삼았다. 침해 가능성이 있는 서버라면 원본 상태를 보존하고 디스크 전체에 대한 포렌식 이미지를 확보하는 것이 기본인데, 이 같은 절차가 제대로 이뤄졌는지를 집중 추궁했다.

LG유플러스 측은 KISA에 포렌식이 가능한 자료를 제출했다고 해명했다. 하지만 한 의원은 정부 민관합동조사단이 OS 재설치로 인해 침해 흔적과 공격 경로를 확인하기 어렵다고 밝힌 점을 들어 회사 측의 증거 보존 조치가 충분했는지 의문을 제기했다.

LG유플러스의 사고 은폐·증거인멸 여부가 수사를 통해 확인될 경우 이용자 위약금을 면제해야 한다는 요구도 나왔다.

이훈기 의원은 과기정통부와 개인정보보호위원회가 서버 폐기와 OS 재설치 등을 이유로 수사를 의뢰한 상황을 언급하며 고의적인 은폐나 증거인멸이 확인될 경우 이용자 보호 책임을 저버린 것이라고 지적했다. 이어 수사 결과 회사 귀책사유가 인정되면 약관에 따라 위약금을 면제해야 한다고 요구했다.

이에 홍관희 LG유플러스 전무는 "이용자에 대한 보호조치가 필요한 부분에 있어서는 최대한 보호조치를 할 수 있도록 하겠다"고 답했다.

배달의민족과 토스페이먼츠는 내부 보안 통제가 제대로 작동하지 않은 점이 문제로 지적됐다.

배달의민족에서는 고객센터에 위장취업한 상담원이 고객의 집 주소와 현관 비밀번호 등을 빼돌려 외부에 넘긴 사건이 벌어졌다. 고객정보가 무단 조회·반출되는 동안 이상징후를 포착하지 못한 것이다.

운영사인 우아한형제들 김정훈 CISO는 "고객센터 등 개인정보 수탁사에 대한 관리·감독 항목을 기존 30개에서 50여개로 확대했다"고 설명했다.

토스페이먼츠는 해커가 결제 영수증 등을 대량으로 빼가는 동안 이상징후 감시망이 작동하지 않았다. 임한욱 토스페이먼츠 CEO는 "미흡한 부분이 있었다"고 인정하며 "내부 체계뿐 아니라 가맹점에 대한 관리·감독도 강화하겠다"고 답했다.

민감정보가 대량으로 유출된 강남언니와 듀오에는 사고 원인뿐 아니라 피해자 보상 문제도 집중 제기됐다.

강남언니에서는 이름과 전화번호뿐 아니라 이용 병원과 희망 시술부위, 결제한 시술상품, 사진 등 22만2000명의 정보가 유출됐다. 홍승일 강남언니 CEO는 "고객의 민감한 개인정보를 지키지 못한 책임을 통감하고 있다"며 "정보보호 인력을 3배 이상 확충하고 보안 관련 투자도 2.5배 이상 늘리겠다"고 설명했다.

듀오에서는 회원 43만명의 프로필 정보가 유출됐다. 병역 관련 정보와 전 배우자 이름, 이혼 사유, 연수입, 재산, 건강상태 등 민감정보도 포함됐다. 박수경 듀오 대표도 유출 정보로 추가 피해가 발생할 경우 책임지고 배상하겠다는 입장을 밝혔다.

쿠팡은 브렛 앤서니 매티스 CISO가 증인으로 출석해 개인정보 유출 사고 이후 보안 강화 조치를 설명했다.

매티스 CISO는 "사고 이후 과기정통부를 포함한 정부기관과 함께 회사의 정보보안 체계를 강화하기 위한 노력을 기울여 왔다"며 "키 관리시스템을 새로 개선하고 하드웨어 기반의 키 관리시스템을 개선한다든가 모니터링 시스템을 구축·개선하는 것이 포함돼 있다"고 말했다.

이어 "정보보호 이니셔티브 과제들에 대한 투자를 지속적으로 단행하고 있다"며 "정보보호자문위원회를 구성하고 설립한 것과 패스키를 도입한 것들이 포함된다"고 설명했다.

◎공감언론 뉴시스 [email protected]

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지