사진=락앤락
사진=락앤락

[다이어리포인트=김정훈 기자] 밀폐용기 제조업체 락앤락이 두 차례 해킹으로 회원 약 130만명의 개인정보를 유출해 5억원대 과징금 처분을 받았다.

개인정보보호위원회는 지난 8일 제13회 전체회의를 열고 락앤락에 과징금 5억300만원, 과태료 540만원을 부과하기로 의결했다.

 

어떤 정보가 얼마나 유출됐나

이번 사고로 유출된 정보는 크게 두 갈래다. 먼저 2024년 4월 해킹으로 빠져나간 회원 데이터베이스에는 약 130만명의 이름, 휴대전화번호, 주소 등이 담겨 있었다. 이어 같은 해 11월 재침입으로는 임직원 개인정보 1111건이 추가로 유출됐는데, 여기에는 주민등록증과 운전면허증, 통장 사본 등 민감한 정보까지 포함됐다.

락앤락이 2024년 11월 공지한 유출 항목을 보면 일반 회원의 경우 아이디, 암호화된 비밀번호, 이름, 주소, 휴대폰 번호, 이메일, CI(연계정보) 등 9개 항목이며, 입력 여부에 따라 성별과 생일, 기념일, 자동로그인 연동정보까지 유출됐을 수 있다고 밝혔다.

 

해킹 경위와 락앤락의 관리 부실

해커는 2024년 4월 락앤락 메일 서버의 보안 취약점을 악용해 내부 시스템에 침입한 뒤 회원 데이터베이스를 통째로 빼갔고, 같은 해 11월에는 다시 침입해 파일서버 업무자료와 임직원 정보까지 추가로 유출했다.

개인정보위 조사 결과 락앤락은 유출 과정에서 발생한 비정상적인 대용량 트래픽을 제대로 탐지·대응하지 못해, 해커로부터 협박 메일을 받은 뒤에야 유출 사실을 인지한 것으로 확인됐다. 또한 2022년에 이미 공개된 보안 취약점을 업데이트하지 않았고, 주요 서버 관리자 계정에 동일한 비밀번호를 적용하는 등 기본적인 안전조치 의무를 다수 위반한 것으로 드러났다. 이와 별도로 이미 문을 닫은 매장의 구매자 정보 등 총 4만9466건을 파기하지 않고 보관해 온 사실도 함께 적발됐다.

 

내 정보 유출 여부, 이렇게 확인하세요

내 개인정보가 이번 사고로 유출됐는지 걱정된다면 개인정보보호위원회가 운영하는 '털린 내 정보 찾기' 서비스를 이용하면 된다. 홈페이지(kidc.eprivacy.go.kr)에 접속해 별도 회원가입 없이 본인인증만으로 무료 이용할 수 있다.

확인 절차는 세 단계로 이뤄진다. 먼저 본인 이메일로 1차 인증을 받고, '로봇이 아닙니다' 체크로 2차 인증까지 마치면 유출여부 조회 화면으로 이동한다. 이후 자신이 사용하는 아이디나 이메일 주소, 비밀번호를 입력하고 '유출 확인' 버튼을 누르면 다크웹 등 음성화 사이트에 해당 계정정보가 불법 유통되고 있는지 즉시 결과를 확인할 수 있다.

지난해 1월 서비스 개편으로 기존 아이디·비밀번호 조합 외에 이메일 주소로도 조회할 수 있게 됐으며, 하루 이용 가능 횟수도 1회에서 3회로 늘었다. 다만 한 번에 조회 가능한 아이디·이메일은 최대 3개로 제한된다. 입력한 계정정보는 암호화해 단순 비교만 수행하며 평문 데이터는 저장하지 않고, 조회 완료 후 즉시 파기하는 방식으로 운영된다.

 

유출 확인 시 즉시 취해야 할 조치

조회 결과 유출 이력이 확인되면 해당 계정을 사용하는 다른 사이트의 비밀번호도 함께 변경해 2차 피해를 막아야 한다. 개인정보위 관계자는 평소 자주 쓰는 계정은 정기적으로 비밀번호를 바꾸고, 유출이 확인되면 즉시 비밀번호를 수정하거나 2단계 인증을 설정하는 것이 중요하다고 권고한 바 있다.

조회 결과에서 유출 이력이 없더라도 안심할 수는 없다. 아직 발견되지 않은 유출 위협에 대비해 주기적인 비밀번호 변경과 2단계 인증 설정이 함께 권장된다. 특히 이번 락앤락 유출 정보에는 보이스피싱 등에 악용될 수 있는 이름, 주소, 휴대전화번호가 다수 포함된 만큼, 락앤락 회원이었던 이용자라면 출처 불명의 문자나 전화에 각별히 주의를 기울여야 한다.