[웹이코노미=김필주 기자] 고객 신상정보를 보험사에 팔아넘겨 법원으로부터 유죄를 받았던 홈플러스가 또 다시 고객 신상정보를 유출한 것으로 드러나 방송통신위원회와 한국인터넷진흥원(KISA)이 조사에 착수한 것으로 전해졌다.

26일 국회 과학기술정보방송통신위원회 소속 변재일 의원이 방송통신위원회로부터 제출받은 자료에 따르면 미상의 특정인이 타인의 아이디·비밀번호 등 계정정보를 이용해 홈플러스 온라인몰에 접속한 것으로 드러났다.

변 의원에 따르면 미상 특정인의 홈플러스 온라인몰 해킹 목적은 포인트 탈취로 알려졌으며 유출된 개인정보는 4만9000건에 달했다. 이같은 사실이 밝혀지자 방통위와 한국인터넷진흥원이 조사에 착수했다.

이번 개인정보 유출 사건은 2년 전인 지난 2017년 10월 17일부터 2018년 10월 1일까지 약 1년에 걸쳐 발생한 것으로 확인됐다. 홈플러스는 사건이 발생한 지 2년이 되도록 관련 사실을 인지하지 못하고 있다가 지난 9월 20일 한 고객이 포인트 미적립 민원을 제기하자 뒤늦게 개인정보 유출 피해를 인지했다.

이러한 사실을 뒤늦게 인지한 홈플러스는 현행법에 따라 지난 20일 방통위에 사고 내용을 신고했다. 정보통신망법상(제27조의3) 서비스 제공자는 개인정보 유출 사실을 인지하면 지체없이 모든 사항을 이용자에게 알리고 방통위 또는 한국인터넷진흥원에 해당 내용을 신고하도록 규정하고 있다.

변 의원은 "홈플러스는 개인정보 유출 사실을 인지한 지 6일이 지난 현재까지 이용자에게 개인정보 유출과 포인트 탈취 사실을 알리지 않고 있다"며 "이는 정보통신망법 위반으로 3천만원 이하 과태료가 부과되는 현행법 위반 사항"이라고 지적했다.

방통위는 이번 사건에 대해 해커로 추정되는 이가 홈플러스 가입자 아이디·패스워드를 취득해 부정 로그인을 시도한 것으로 보고 한국인터넷진흥원과 함께 지난 25일 현장조사에 착수했다.

방통위와 한국인터넷진흥원은 홈플러스에 대해 개인정보 유출 규모·원인 등을 파악하고 개인정보 보호를 위한 기술적‧관리적 조치 여부 등에 대한 사실 조사 후 법 위반 사항이 확인되면 제재조치를 할 방침이다.

정보통신망법 제64조의3은 정보통신서비스 제공자가 개인정보 보호를 위한 기술적‧관리적 조치를 하지 않아 개인정보의 도난·유출 등이 발생하면 위반행위와 관련한 매출액의 100분의 3이하에 해당하는 과징금을 부과하도록 하고 있다.

변 의원은 "홈플러스가 무려 2년 동안 고객 4만9000명의 개인정보 유출 사실을 인지하지 못한 것은 고객의 개인정보를 내팽개친 것이나 다름없다"며 "이미 지난 2011년 개인정보 장사로 곤혹을 치른 사실이 있음에도 불구하고 개인정보 유출과 재산상의 피해 사실을 고객들에게 6일 동안 은폐한 것 역시 무책임한 행태"라고 비판했다.

이어 "방통위와 한국인터넷진흥원은 알려진 사실 이외에 추가 피해가 없는지 신속하고 철저하게 조사하고 위법사항에 대해서는 단호히 대처해야 한다”고 강조했다.

앞서 홈플러스와 전·현직 임원 6명은 지난 2011년부터 2014년까지 11차례의 경품행사를 진행하면서 수집한 개인정보와 패밀리카드 회원정보 2400만건을 라이나생명·신한생명 등 보험사에 총 231억원에 판매한 혐의(개인정보보호법 위반)로 지난 2015년 재판에 넘겨진 후 법원으로부터 유죄 판결을 받은 바 있다.

이때 홈플러스는 응모권의 개인정보 활용 동의 사항을 1㎜ 크기의 깨알 글씨로 적어 읽기 어렵게 해 논란이 일었다.

김필주 웹이코노미 기자 webeconomy@naver.com