탈퇴 뒤에도 남은 개인정보 파일, 할리스 자료와 무엇이 달랐나

할리스는 유출 자료가 현재 운영 중인 고객 데이터베이스가 아니라 과거 멤버십 서비스 개편을 위해 제공한 임시 파일인 것으로 파악하고 있다.

이번 사건은 운영 시스템 밖에 있는 자료도 관리가 필요하다는 점을 드러냈다.

할리스는 지난 16일 멤버십 정보를 사용하는 클라우드 서비스에서 인가되지 않은 접근을 확인했다.

한국인터넷진흥원(KISA)에 신고한 유출 규모는 중복 회원을 포함해 약 276만 건이다.

회사는 자료가 2009년부터 2020년 2월 11일까지 누적된 고객 데이터로 추정하고 있다.

유출 항목에는 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 서비스 이용 관련 정보가 포함됐다.

원문은 할리스 자료가 탈퇴 회원의 정보인지 밝히지 않았다. 따라서 이 파일을 탈퇴 회원 정보라고 단정할 수는 없다.

반면 쿠팡 유출 사고에서는 탈퇴 회원 정보 수백만 건이 제때 파기되지 않고 남아 있었던 사실이 드러났다.

할리스는 멤버십 개편용 임시 파일, 쿠팡은 탈퇴 회원 정보 미파기 사례로 확인된 문제의 성격이 다르다.

두 사례는 개인정보가 현재 서비스에 쓰이는 데이터베이스 외에도 개편용 임시 파일이나 파기되지 않은 탈퇴 회원 정보로 남을 수 있음을 보여준다.

전문가들은 불필요한 개인정보, 특히 주소 등의 수집을 자제하고 용도가 끝난 정보는 파기해야 한다고 지적했다.

기술적 보안과 함께 수집부터 보관, 파기까지 전 과정에서 정보의 필요성과 보유 기간을 관리해야 한다.