도대체 몇 번째냐...또 개인정보 42만건 유출, 하이브 위버스 보안 사고 ‘반복’ [종합]

사진제공=위버스컴퍼니 

하이브 산하 위버스컴퍼니에서 운영하는 글로벌 팬 플랫폼 위버스에서 대규모 개인정보 유출 사고가 발생했다. 반복되는 재발 방지 약속에도 불구하고 또다시 발생한 유출 사고다.

위버스컴퍼니 양주일 대표이사는 지난 6일 공식 안내문을 발표하고 “서비스 보안 취약점에 대한 외부 제보를 접수하여 즉시 점검을 진행했고, 그 결과 일부 고객님의 개인정보가 유출된 사실을 확인했다”며 사과했다.

위버스 측에 따르면 지난 3일 한국인터넷진흥원(KISA)으로부터 외부 제보자의 보안 취약점 관련 통보를 받고 즉시 긴급 점검에 착수했다. 이번 점검을 통해 확인된 유출 규모는 계정 ID 기준 총 42만2584건에 이른다.

유출된 항목에는 이용자 구분을 위한 내부 식별 정보뿐만 아니라 구매 유형, 통화 단위, 결제 및 취소 금액, 결제 일시, 결제 상태, 환불 일시 등 결제 관련 정황 정보가 포함됐다.

양 대표는 “유출된 내부식별정보는 이름, 연락처 등 개인을 직접 식별하는 정보가 아닌, 위버스컴퍼니 내부 시스템에서만 사용되는 식별값으로 외부에서는 사용할 수 없다. 해당 정보 항목만으로는 결제 위조나 부정 이체 등이 발생하기 어렵다”고 해명했다.

위버스컴퍼니 측은 결제 정보 처리 API의 접근 제어를 강화하고 내부 식별자 정보를 제거하는 응급 조치를 취했으며, 지난 4일 KISA에 침해사고 신고를 마쳤다.

양 대표는 “앞으로 외부 노출 API를 전수 조사하여 접근 제어 강화 및 노출 정보 최소화를 진행하고, 배포 프로세스에 대한 통제 및 보안 모니터링의 민감도를 강화하여 유사한 사고가 재발하지 않도록 최선을 다하겠다”고 했다. 

문제는 위버스의 개인정보 노출 사고가 이번이 처음이 아니라는 점이다.

개인정보보호위원회는 2021년 11월 위버스컴퍼니가 서비스 트래픽 이상 현상을 긴급조치하는 과정에서 발생한 개발 오류로 타인의 계정으로 로그인이 되는 바람에 137건의 이름, 이메일, 성별, 휴대전화번호, 멤버십 회원번호 등 개인정보가 타인에게 공개된 사실을 확인하고, 개인정보보호 법규 위반에 따라 시정명령과 과태료 700만원을 부과했다.

당시에도 피해 사실을 이용자가 문의한 뒤 개별 안내하는 방식이 이어져 사후 통지 방식에 대한 비판이 제기된 바 있다.

지난 6월에도 팬 이벤트 담당 직원의 비위 행위로 일부 회원의 개인정보가 유출되는 사고가 발생했다. 

해당 직원은 업무상 확보한 팬 사인회 응모자의 이름과 출생연도를 지인들과의 카카오톡 비공개 단체 대화방에 공유했으며, 별도의 공개방송 이벤트 당첨자 30명의 이름, 생년월일, 전화번호가 담긴 명단까지 외부에 무단 유출한 것으로 조사됐다.

당시 최준원 위버스컴퍼니 대표이사는 공식 안내문을 통해 “해당 구성원 개인의 일탈 행위를 넘어, 위버스컴퍼니의 구성원 관리 부실에 대한 책임이 큰 사안으로 인식하고 있다”며 고개를 숙였다.

당시 회사는 해당 직원을 즉시 업무에서 배제하고 인사위원회 회부 및 형사 고소장을 제출하는 한편, 개인정보 접근 권한 제한과 상시 모니터링 강화, 재발 방지 TF 구성 등 대책을 약속했으나 불과 수개월 만에 또다시 대규모 유출 사태를 맞이하게 됐다.

이처럼 시스템 오류부터 내부 직원의 비위, 대규모 보안 취약점 노출까지 반복적인 보안 사고가 이어지고 있다. 매번 사과와 대책 마련을 되풀이해왔음에도 실질적인 관리·감독 체계가 작동하지 않는다는 지적이 나오면서, 위버스 플랫폼 전체에 대한 이용자 불신과 브랜드 가치 하락은 피하기 어려울 것으로 보인다.