인터파크 개인정보 1030만 명 유출 해킹 사건

2016년 5월경 인터파크 직원은 동생의 이메일 주소로 위장한 한 통의 이메일을 받았다. 가족 사진 파일로 위장한 악성코드가 첨부돼 있었고, 직원이 이를 열자 업무용 PC가 감염됐다. 해커는 감염된 PC를 발판으로 파일 공유 서버를 거쳐 데이터베이스 관리자 PC까지 장악했다. 이후 회원 정보가 담긴 DB 서버에 접근할 수 있는 권한을 확보했다. 정교한 표적형 스피어피싱 공격으로 내부망 깊숙이 침투한 전형적인 지능형 지속 위협(APT) 수법이었다.

인터파크는 2016년 7월 해커가 탈취한 개인정보를 빌미로 금전을 요구하면서 사고를 인지했다. 해커는 유출한 회원 정보를 공개하지 않는 대가로 비트코인 약 30억 원어치를 요구하며 회사를 협박했다. 회사는 협박을 받고서야 내부망이 이미 오래전에 뚫렸다는 사실을 파악했다. 유출은 수개월 전부터 은밀하게 진행된 상태였다. 뒤늦은 인지로 초기 대응이 늦어졌다는 비판이 뒤따랐다.

조사 결과 유출된 개인정보는 회원 약 1030만 명, 건수로는 2000만 건이 넘는 것으로 집계됐다. 유출된 항목에는 아이디, 비밀번호, 이름, 성별, 생년월일, 전화번호, 휴대전화번호, 이메일, 주소 등 9종이 포함됐다. 국내 대표 전자상거래 업체의 방대한 회원 정보가 통째로 빠져나간 셈이었다. 인터파크는 경찰과 한국인터넷진흥원(KISA)에 신고하고 회원들에게 유출 사실을 공지했다. 이용자들은 2차 피해를 우려하며 비밀번호 변경 등 대응에 나섰다.

경찰은 수사를 통해 이번 해킹을 북한 정찰총국이 배후에 있는 조직의 소행으로 지목했다. 공격에 사용된 악성코드와 침투 수법이 북한 연계 해킹조직의 특성과 일치한다고 봤다. 다만 실제 행위자의 신원을 특정해 검거하지는 못했다. 국가 배후 세력이 민간 기업의 개인정보를 노린 사건이라는 점에서 파장이 컸다. 개인정보 유출이 단순 범죄를 넘어 안보 위협과 맞닿아 있음을 보여준 사례로 기록됐다.

방송통신위원회는 2016년 말 인터파크에 과징금 44억8000만 원과 과태료 2500만 원을 부과했다. 이는 당시 개인정보 유출 사고에 부과된 과징금 가운데 역대 최대 규모였다. 방통위는 인터파크가 방대한 개인정보를 관리하면서도 접근 통제 등 기술적·관리적 보호조치를 소홀히 했다고 판단했다. 침입 탐지 체계와 내부망 접근 권한 관리가 허술했던 점이 제재의 핵심 사유였다. 이 제재는 이후 기업들의 개인정보 보안 투자 확대를 압박하는 기준점이 됐다.

정보가 유출된 회원들은 인터파크를 상대로 손해배상을 요구하는 집단소송에 나섰다. 이용자들은 회사가 개인정보 보호 의무를 다하지 못해 정신적 피해를 입었다고 주장했다. 인터파크는 고도화된 해킹 공격으로 불가피했다는 취지로 맞섰다. 유출 규모가 큰 만큼 배상 여부와 액수를 둘러싼 법정 공방이 장기화됐다. 소송은 개인정보 유출 시 기업의 책임 범위를 가늠하는 시험대가 됐다.

2020년 법원은 인터파크가 유출 피해자들에게 1인당 10만 원씩 배상하라고 판결했다. 재판부는 인터파크가 개인정보 보호를 위한 기술적·관리적 조치를 충분히 하지 않은 책임이 있다고 봤다. 방대한 개인정보를 취급하는 사업자로서 요구되는 주의 의무를 게을리했다는 취지였다. 이는 대규모 개인정보 유출에서 기업의 배상 책임을 인정한 의미 있는 판결로 평가됐다. 사건은 국내 개인정보 보호 규율을 한층 강화하는 계기가 됐다.