하이브 개인정보 유출, 업무 문서 안에 계좌번호와 카드번호도 있었다

하이브 문서 미리보기가 왜 유출 경로에 등장했나

문서를 열어 내용을 보여주는 기능에도 지켜야 할 개인정보가 있었다. 하이브(352820)는 사내 보안 점검 중 전자결재에 연결된 외부 업체의 문서 미리보기 솔루션에서 비정상적인 외부 접근 정황을 발견했다.

추가 조사에서는 비용처리시스템에서도 유사한 접근이 드러났다. 회사가 밝힌 유출 대상은 이들 시스템에 보관된 일부 내부 문서와 그 안의 개인정보다. 문서를 처리하는 업무 경로가 개인의 정보를 노출하는 경로로 이어졌다.

이 사건에서 우리가 보는 급소는 문서 안이다. 개인정보를 보호한다는 일에는 별도 명부를 잠그는 것뿐 아니라, 그 정보가 들어간 문서를 어떤 기능으로 열고 누구에게 보여주는지 관리하는 일까지 포함돼야 한다.

9∼10월 유출, 날짜로 어디까지 알 수 있나

유출 시기는 9월 12∼13일과 10월 3∼5일이다. 하이브는 10월 18일 홈페이지에 관련 내용을 공지했다. 사건이 알려진 날짜와 실제 정보가 빠져나간 날짜를 구별해야 사고의 경과가 보인다.

날짜가 떨어져 있다는 이유만으로 회사가 사고를 알고도 알리지 않았다고 단정할 수는 없다. 유출이 발생한 때, 회사가 알아챈 때, 관계기관에 신고한 때는 서로 다른 시점이다. 대응 속도를 판단하려면 그 순서가 필요하다.

여기서 중요한 발견은 조사 범위가 넓어졌다는 사실이다. 문서 미리보기에서 정황을 찾은 뒤 비용처리시스템에서도 유사한 접근을 확인했다. 재발 방지도 처음 발견한 기능의 차단에서 멈춰서는 곤란하다.

하이브를 떠난 사람의 정보는 왜 여전히 문제인가

유출 대상에는 현직 직원만 있는 것이 아니다. 퇴직한 구성원과 협력사 관계자도 포함됐다. 회사와 일하는 관계가 달라진 뒤에도, 회사에 남은 문서 때문에 같은 사고의 당사자가 될 수 있다는 사실이 드러났다.

퇴사는 정보의 퇴장이 아니었다.

유출 항목에는 이름과 휴대전화 번호뿐 아니라 주민등록번호, 여권번호, 계좌번호, 카드번호, 생년월일, 사번 등이 들어 있다. 회사 안에서는 업무 문서였지만, 그 안의 번호들은 개인의 신분과 돈에 연결된다.

그렇다고 전직 직원 정보가 남아 있었다는 사실만으로 불필요한 보관이나 위법을 단정할 수는 없다. 우리가 짚는 책임은 더 구체적이다. 보관하는 동안에는 현직인지 퇴직자인지와 관계없이 정보가 노출되지 않도록 지켜야 한다.

하이브의 접근 차단과 기관 신고는 무엇을 하나

하이브는 공격에 사용된 IP와 접근 경로를 차단하는 보안 조치를 진행했고, 한국인터넷진흥원과 개인정보보호위원회에 신고를 마쳤다고 밝혔다. 긴급 대응의 초점은 외부로 정보가 더 노출되는 일을 막는 데 놓였다.

신고는 피해 인원이 많을 때만 필요한 절차가 아니다. 개인정보보호위원회 안내에는 고유식별정보 유출이나 외부 불법 접근에 따른 유출도 인원수 조건과 별개의 신고 조건으로 제시돼 있다.

접근 차단과 재발 방지는 맡은 일이 다르다. 전자는 드러난 공격 경로를 막고, 후자는 유사한 접근이 다시 가능하지 않도록 체계를 고치는 일이다. 하이브가 약속한 접근 제어·보안 모니터링 강화와 원인 규명은 이 다음 단계에 해당한다.

따라서 대응을 평가할 때는 차단했다는 발표와 개선이 끝났다는 결론을 구별해야 한다. 회사가 밝힌 조치는 출발점이다. 보호 범위가 문서 미리보기와 비용처리까지 실제로 이어지는지가 재발 방지의 내용을 결정한다.

직원 정보 유출의 비용은 어디로 이어질까

직원 정보 유출의 사후 대응은 전산 시스템을 고치는 일 밖으로도 이어질 수 있다. 소니 픽처스 엔터테인먼트(Sony Pictures Entertainment)의 2015년 10월 19일 법원 제출 합의서에는 퇴직 직원 10명이 7건의 집단소송을 제기한 경과가 담겼다.

소니는 신원보호 서비스를 무료로 제공했다. 등록형 서비스에는 신원도용으로 생긴 실제 비용 등을 보전하는 보험도 포함됐다. 회사가 대응해야 할 대상이 서버에서 정보를 맡겼던 사람의 생활로 이어진 사례다.

이 전례를 하이브의 보상액이나 소송 가능성으로 옮겨 적을 수는 없다. 가져올 발견은 비용의 경로다. 정보를 보관한 시스템의 복구와, 정보가 노출된 사람을 보호하는 일은 서로 다른 대응 과제가 될 수 있다.

하이브 보안의 범위는 문서 안의 사람까지다

하이브는 개인정보 유출에 사과하고 보안 체계 개선을 약속했다. 이 약속의 무게는 유출된 항목과 대상에서 나온다. 전자결재와 비용처리에 들어 있던 정보가 직원과 협력사 관계자 개인의 문제로 돌아왔기 때문이다.

우리는 이 사건을 업무 문서의 보호 범위를 다시 묻는 사고로 본다. 문서를 편하게 보여주는 외부 기능도, 비용을 처리하는 시스템도 그 안에 개인정보가 있다면 같은 보호 책임 안에 놓여야 한다.

개인의 돈에 닿는 경로도 여기에 있다. 계좌번호와 카드번호가 업무 문서와 함께 유출됐다. 이를 곧바로 금전 피해로 단정할 수는 없지만, 기업의 문서 관리가 개인의 금융정보 보호와 떨어져 있지 않다는 사실은 분명하다.

회사가 문서를 남겨 두는 선택에는 그 문서 속 사람을 계속 지키는 일도 따라붙는다. 사람이 회사를 떠난 뒤에도 그 책임은 문서와 함께 남는다.