개인정보보호위원회는 싱가포르 소재 온라인 간편결제서비스 페이팔에 대해 9억600만원의 과징금과 1620만원의 과태료를 부과하기로 의결했다고 26일 밝혔다. 

개인정보위는 지난 2021년 12월 페이팔이 송금기능 해킹과 이메일 피싱으로 한국 이용자의 개인정보가 유출됐다고 신고해옴에 따라 조사에 착수했다. 이후 올해 1월 외부 공격으로 개인정보가 유출됐다고 추가로 신고를 해 총 3건의 유출 사고를 함께 조사했다. 

 

조사 결과, 페이팔이 개인정보보호법을 위반해 안전조치의무를 소홀히 하고, 유출 통지·신고를 지연한 사실을 확인했다. 

먼저 송금기능 해킹으로 2만2067명의 이름, 국가 코드, 프로필 사진이 유출된 사실이 확인됐다. 올해 1월 신고의 경우 사전에 확보한 다수의 아이디와 비밀번호 정보를 무작위로 대입해 로그인을 시도하는 공격 방식으로 336명의 이름, 생년월일, 주소, 핸드폰 번호가 유출된 사실이 드러났다. 

개인정보위는 “특정 아이피(IP)에서 반복적으로 접근해 개인정보가 유출됐음에도 이를 미리 탐지·차단하지 못하는 등 개인정보처리시스템에 대한 침입차단 및 침입탐지시스템 운영을 소홀히 한 것으로 나타났다”고 밝혔다. 

이메일 피싱으로 가맹점주 등 1186명의 이름, 업무용 전자우편·전화번호·주소가 유출된 것은 안전조치의무 소홀보다 특정 직원의 대처가 소홀했기 때문인 것으로 파악했다. 아울러 총 3건의 개인정보 유출 사고와 관련해 통지 및 신고를 지연한 사실도 함께 확인했다.

페이팔 측은 개인정보 유출 방지 등을 위한 자사의 다양한 보호조치를 설명하면서 다수 정보보호 관련 인증 취득, 정보보호 관련 국제 보안 표준 마련에 기여하는 등 개인정보보호를 위한 노력을 펼쳤다고 주장했다.

그러나 개인정보위는 전 세계에 서비스를 제공하는 글로벌 기업으로 안전조치를 강화할 필요가 있고, 송금기능 해킹 및 외부 공격 관련 조치사항 등을 종합적으로 고려했을 때, 사회통념상 합리적으로 기대가능한 정도의 보호조치를 충분히 했다고 하기 어렵다고 판단했다. 

개인정보위는 “해외사업자가 국외에서 한국 이용자의 개인정보를 처리하는 경우라도 우리 보호법에 맞는 충분한 조치를 다 할 필요가 있다는 것을 다시 한번 환기시키는 계기가 될 것”이라고 밝혔다. 중기이코노미 이창호 기자