중소·중견기업과 스타트업에서 개인정보 유출 사고가 잇따르고 있다. 최근 유명 어학원 '정상제이엘에스'와 유아동 교육 매칭 플랫폼 '자란다', 배달대행 플랫폼 '플라이' 등에서 고객 개인정보 유출 사고가 발생했다.
특히 이들 기업은 고객의 연락처뿐 아니라 자녀 정보, 주소, 계좌정보, 공동현관 비밀번호 등 민감한 정보를 다루고 있어 2차 피해 우려도 커지고 있다.
24일 중소기업 및 보안업계에 따르면 정상어학원을 운영하는 정상제이엘에스(040420)는 지난 21일 회원 정보에 대한 외부의 비정상적인 대량 접근을 17일 탐지해 차단했고, 이후 조사 과정에서 개인정보 유출 사실을 18일 확인했다. 유출된 정보는 이름, 생년월일, 성별, 전화번호, 이메일, 주소, 학교, 학년, 아이디, 암호화된 비밀번호 등이다.
회사 측은 주민등록번호 등 고유식별정보는 수집하지 않는다고 밝혔다. 정확한 유출 규모와 접근 경로는 조사 중이며, 관계기관 신고와 수사기관 수사 의뢰를 진행했다.
유아동 교육 매칭 플랫폼 자란다에서도 개인정보 탈취 정황이 확인됐다. 자란다는 지난 21일 방문 일지 DB에 외부인이 접근해 일부 정보를 탈취한 정황을 확인했다고 밝혔다. 유출된 정보는 가입자의 휴대전화 번호와 수업 자녀의 이름, 방문 일시, 과목, 사진 등이다.
자란다는 외부 접근을 차단하고 동일 유형의 잔여 접근 경로를 점검·정리했고, 해외 비정상 전송에 대한 감시 체계도 구축했다고 설명했다.
배달대행 플랫폼 플라이에서는 관리자·라이더·상점·주문 고객의 개인정보가 유출됐다. 관리자와 라이더는 이름, 연락처, 주소, 계좌정보, 주민등록번호 등이 유출된 것으로 파악됐다. 상점의 경우 이름, 생년월일, 상호명, 연락처, 사업자등록번호, 주소 등이, 주문 고객은 주소와 연락처 및 일부 공동현관 비밀번호가 유출됐다.
플라이는 지난 18일 사고를 인지한 뒤 비정상적인 접근 경로를 차단하고 보안점검과 원인 분석에 착수했다. 한국인터넷진흥원(KISA), 개인정보보호위원회, 경찰청 사이버수사대 등 관계기관에도 신고했다. 정확한 사고 원인과 유출 범위 등은 조사 중이다.
전문가들은 중소기업과 스타트업의 경우 대기업에 비해 개인정보 보호에 투입할 수 있는 인력과 자원이 부족한 만큼 보안 관리에 사각지대가 발생할 가능성이 있다고 지적한다. 별도의 개인정보보호 담당자를 두기보다 IT·보안 담당자가 관련 업무를 겸하는 기업도 많아 개인정보 접근권한 관리와 이상징후 모니터링 등이 상대적으로 취약할 수 있다는 것이다.
특히 교육·배달 플랫폼은 공격자에게 매력적인 표적이 될 수 있다. 교육업체는 보호자와 자녀의 개인정보, 수업 일정과 사진 등을 보유하고 있으며 배달 플랫폼은 주소와 연락처, 계좌정보뿐 아니라 공동현관 비밀번호까지 취급한다. 유출된 정보가 피싱이나 사칭 등 2차 범죄에 악용될 가능성도 배제하기 어렵다.
김용대 카이스트 전기 및 전자공학부 교수는 "대기업은 자체적으로 보안 인력과 시스템에 투자할 여력이 있지만, 중소기업은 전문 인력과 자원이 부족해 보안 관리에 한계가 있다"며 "중소기업이 최소한의 보안 체계를 갖출 수 있도록 정부가 기본적인 보안 솔루션과 원격 관제 서비스 등을 지원하는 정책이 필요하다"고 말했다.