법무법인 로고스가 내부 전산시스템 관리를 소홀히 했다가 이름과 주민등록번호, 개인 범죄정보 등이 담긴 소송자료 18만건을 해킹당해 거액의 과징금을 물게 됐다. 지난해 여름, 해커에 털린 자료는 1.6TB 규모이며, 무단으로 빼돌려진 자료는 다크웹에 게시되기도 했다.
개인정보보호위원회(이하 개인정보위)는 20일 전체회의를 열어 대규모 소송자료가 유출된 법무법인 로고스에 과징금 5억2300만원과 과태료 600만원을 부과하기로 의결했다고 21일 밝혔다. 개인정보위는 로고스가 내부 시스템에 보관·관리하던 소송자료가 다크웹에 게시된 사실을 확인하고, 조사에 착수했다.
개인정보위에 따르면 해커는 지난해 7~8월 ID와 비밀번호 등 로고스의 관리자 계정정보를 빼낸 뒤 내부 인트라넷에 접속해 사건관리 리스트 4만3892건을 내려받아 유출했다. 또 소송자료가 저장된 디렉터리에서는 소장, 판결문, 증거자료, 금융거래내역서, 신분증, 진단서 등 18만5047건(약 1.59TB) 규모의 소송 관련 문서를 추가로 빼냈다. 문서에는 이름, 주소, 연락처, 주민등록번호, 계좌번호, 범죄 이력, 건강정보 등 민감한 개인정보가 대량 포함돼 있었다. 이렇게 유출된 소송자료는 모두 1.6TB 규모에 달했다.
해커는 지난해 8~9월에는 로고스의 메일서버 등에 랜섬웨어 악성코드를 심어 서버를 마비시키기도 했다. 로고스는 당시 서버가 마비돼 시스템을 재구축해야 했다. 조사 결과 로고스는 내부 시스템에 대한 접속권한을 IP 주소 등으로 제한하지 않는 등 접근·통제 조치를 소홀히 했다. 외부에서 시스템 접속 시 ID와 비밀번호만으로 접속이 가능하도록 운영했고, 웹페이지에 대한 취약점 점검·조치를 소홀히 한 것으로 밝혀졌다. 또 주민등록번호, 계좌번호, 비밀번호 등을 암호화하지 않고 저장했으며 보관 중인 개인정보의 파기 기준도 마련하지 않았다.
로고스는 지난해 9월 5일 무렵에 이 같은 개인정보 유출 사실을 인지했지만, 정당한 사유 없이 1년 이상 지난 올해 9월 29일 무렵에야 개인정보위에 개인정보 유출 통지를 한 것으로 확인됐다. 개인정보위는 로고스의 위반사항을 ‘매우 중대한 위반’으로 판단하고, 과징금 5억2300만원과 과태료 600만원을 부과했다. 또 처분받은 사실을 운영 중인 홈페이지에 공표할 것을 명령했다. 유출사고 재발 방지를 위한 안전조치 강화, 주요 개인정보 암호화, 명확한 파기 지침 수립, 사고 대응 체계 정립 등 전반적인 개인정보 보호 및 관리 체계를 강화할 것을 시정명령했다.
로고스는 앞서 올해 5월 국내 통신업체의 유심 정보 해킹 사태가 불거졌을 때 수백명의 피해자를 모집해 손해배상을 청구하는 공동소송 대리에 나선 로펌이다. 그랬던 로펌이 이번 발표로 직접 해킹 사태의 당사자가 됐다. 로고스는 “고객의 정보를 철저히 보호해야 할 법무법인으로서 기본적인 책무를 다하지 못해 심려와 불편을 드린 점 사과드린다”는 입장을 밝혔다.
로고스는 21일 홈페이지 공지를 통해 “2024년 8월말 인트라넷 침입 사고가 발생, 사고를 인지한 즉시 관련 서버를 차단하는 비상조치를 단행, 곧바로 경찰과 개인정보보호위원회, 한국인터넷진흥원에 신고했다”며 “또 재발 방지를 위해 정밀 보안 컨설팅, 네트워크 장비 최신형 교체, 방화벽 기능 개선, EDR, MDR, 모든 파일 암호화 등 전방위적인 보안 강화 조치를 했다”고 밝혔다. 이어 “이번 사건을 교훈 삼아 국내 법무법인 최고 수준의 보안 정책을 실행해 재발을 방지하겠다”며 “고객의 신뢰를 회복하는 길은 완벽한 정보보안 체계를 구축하고 이를 증명하는 것임을 명심하겠다”고 재차 사과의 뜻을 밝혔다.
