골프존 랜섬웨어 개인정보 221만 명 유출 사태

2023년 11월 골프존은 랜섬웨어 공격을 당해 내부 시스템이 침해됐다. 공격자는 골프존 임직원의 VPN 계정 정보를 탈취해 회사 파일서버에 원격으로 접근했다. 이후 서버에 저장돼 있던 대량의 파일이 외부로 빠져나갔다. 골프존은 코로나19로 재택근무가 늘자 VPN 시스템을 급하게 도입했으나 종합적 점검과 관리가 미흡했던 것으로 조사됐다. 이 허술한 원격접속 환경이 대규모 유출의 통로가 됐다.

공격자는 탈취한 파일을 다크웹에 공개하며 사실상 협박에 나섰다. 이로 인해 골프존 서비스 이용자와 임직원의 개인정보가 불특정 다수에게 노출됐다. 유출된 정보에는 이름, 전화번호, 이메일, 생년월일, 이용자 아이디 등이 포함됐다. 스크린골프라는 대중적 서비스 특성상 피해자 범위가 광범위했다. 이용자들은 2차 피해 가능성에 우려를 나타냈다.

개인정보보호위원회 조사 결과 이번 사건으로 개인정보가 유출된 이용자와 임직원은 약 221만 명에 이르렀다. 특히 일부 항목에서는 민감정보인 주민등록번호가 5831명, 은행 계좌번호가 1647명분 포함된 것으로 확인됐다. 위원회는 골프존이 개인정보 보호법 제29조의 안전조치 의무를 위반했다고 판단했다. 또한 파기해야 할 개인정보를 삭제하지 않은 제21조 위반도 적발됐다. 대량의 민감정보가 방치돼 있었다는 점에서 관리 부실이 도마에 올랐다.

2024년 5월 9일 개인정보보호위원회는 골프존에 과징금 75억400만 원과 과태료 540만 원을 부과하기로 의결했다. 이는 당시 국내 기업에 부과된 개인정보 관련 과징금 중 역대 최대 규모였다. 위원회는 안전조치 의무 위반과 개인정보 파기 의무 불이행을 핵심 제재 근거로 제시했다. 골프존이 원격근무 확대 과정에서 보안 관리를 소홀히 한 점이 크게 반영됐다. 이 결정은 중견 IT·서비스 기업의 개인정보 관리 책임을 다시 부각시켰다.

2025년 3월 골프존은 개인정보위의 과징금 처분에 불복해 행정소송을 제기한 것으로 확인됐다. 골프존은 제재 수위가 과도하고 처분 근거에 다툼의 여지가 있다고 주장했다. 이로써 사건은 행정처분 단계를 넘어 법정 공방으로 번졌다. 유출 피해자들의 손해배상 요구와 별개로, 회사와 규제당국 간 과징금 적법성 다툼이 이어지게 됐다. 최종 결론은 법원 판단에 따라 좌우될 전망이다.

6월 29일 CK 법률사무소는 개인정보 유출 피해자 23명을 대리해 서울중앙지방법원에 골프존을 상대로 한 손해배상 청구 소송을 냈다. 청구액은 1인당 위자료 20만 원이다. 소송의 근거로는 주민등록번호 등 민감정보를 암호화하지 않은 점, 개인정보보호법상 기술적·관리적 안전조치 의무를 소홀히 한 점, 보유기간이 지난 약 38만 명의 개인정보를 파기하지 않은 점이 제시됐다. 법률사무소는 네이버 카페를 통해 추가 원고를 모집할 계획이며, 골프존이 선제적으로 배상 의지를 보이면 조정 가능성도 열어뒀다. 2023년 11월 랜섬웨어 공격 이후 2년 7개월 만에 사건이 행정 제재를 넘어 민사 배상 국면으로 확대됐다.