개인정보위 “안전조치 등 미흡”
최소 6만 5000여건 유출 추정
카카오 “행정소송 등 법적 대응”

지난해 발생한 ‘카카오톡 오픈채팅 이용자 개인정보 유출 사고’와 관련해 개인정보보호위원회(개인정보위)가 카카오에 과징금 151억여원을 부과했다. 이는 역대 최대 과징금이었던 골프존의 75억여원보다 2배 이상 많은 금액이다.

개인정보위는 전날 전체회의를 열고 카카오에 대해 개인정보보호법상 안전조치 의무 위반으로 과징금 151억 4196만원과 유출 신고·통지의무 위반으로 과태료 780만원을 부과하고 시정명령과 처분 결과를 공표하기로 했다고 23일 밝혔다.

개인정보위는 지난해 3월 카카오톡 오픈채팅 이용자의 개인정보가 불법 거래되고 있다는 언론 보도에 따라 개인정보보호법 위반 여부에 대한 조사에 착수한 바 있다.

개인정보위 조사 결과 해커는 오픈채팅의 취약점을 이용해 오픈채팅 참여자 정보(임시 ID)를 획득했고, 카카오톡의 ‘친구 추가’ 기능과 불법 프로그램 등을 이용해 일반채팅 이용자 정보(회원 일련번호)를 확보했다. 개인정보위는 이들 정보를 회원 일련번호 기준으로 결합한 뒤 개인정보 파일을 생성해 판매한 것으로 확인됐다고 밝혔다.

남석 개인정보위 조사조정국장은 “정확한 유출 규모는 경찰에서 조사 중”이라며 “특정 사이트에 카카오톡 오픈채팅 이용자 696명의 정보가 올라와 있는 것을 확인했고, 해커가 최소 6만 5719건의 개인정보를 조회한 것으로 확인했다”고 했다.

개인정보위는 카카오가 오픈채팅 서비스 설계·구현 과정에서의 과실과 카카오톡 전송 방식을 분석해 만든 해킹 프로그램을 이용한 악성 행위에 대한 대응조치 미흡 등으로 인해 개인정보가 해커에게 공개·유출된 만큼 개인정보보호법상 안전조치 의무를 위반했다고 밝혔다. 또 지난해 3월 언론 보도와 개인정보위 조사과정에서 카카오톡 오픈채팅 이용자의 개인정보가 유출되고 있다는 사실을 알았음에도 유출 신고와 이용자 대상 유출 통지를 하지 않아 개인정보보호법을 위반했다고도 했다.

카카오는 이에 대해 행정소송을 포함한 법적 대응을 적극 검토하겠다는 입장을 밝혔다.

카카오는 임시 ID 자체는 어떠한 개인정보도 포함하고 있지 않아 개인 식별이 불가능하고, 사업자가 생성한 서비스 일련번호는 관련법상 암호화 대상이 아니므로 법령 위반으로 볼 수 없다고 항변했다.

특히 해커가 결합해 사용한 다른 정보는 카카오에서 유출된 것이 아니라 독자적인 불법행위를 통해 자체 수집한 것이란 점에서 이를 카카오 과실로 판단한 부분은 부당하다고 했다.

김승주 고려대 정보보호대학원 교수는 “개인정보보호법상 개인정보란 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합해 알아볼 수 있는 정보로 정의하고 있다”면서 “향후 이들 정보가 쉽게 결합할 수 있는 개인정보에 해당하는지를 두고 첨예한 소송이 예상된다”고 말했다.