데일리 TOP10
15만 명 정보 유출 삼양그룹 4개 사에 과징금 5억 5200만 원 부과
뉴스보이
2026.11.12. 10:02
뉴스보이
2026.11.12. 10:02
외부망 방치 서버와 주민등록번호 암호화 부실 제재
1
해킹 공격으로 삼양홀딩스 등 3개사 임직원과 주주 등 14만 9767명의 개인정보 파일 약 85만 개가 외부로 유출됨.
2
삼양데이타시스템이 데이터 이관 후 서버를 외부망에 방치했고, 유출된 주민번호 8만여 명분은 암호화되지 않았음.
3
아울러 기한 지난 급여정보 미파기와 무단 수집이 적발됐으며, 위탁계약서는 사고 2년 5개월 뒤에야 사후 체결됨.
4
개인정보보호위원회는 안전조치를 소홀히 한 계열 3사에 과징금 총 5억 5200만 원과 과태료 1620만 원을 부과함.
5
이어 수탁사인 데이타시스템에 시정명령을 내리고 법 위반이 확인된 계열사 처분 사실을 대외에 공표하기로 의결함.
15만 명 정보 유출과 5억 원대 과징금에 담긴 법적 쟁점
이관 서버 방치가 초래한 대규모 유출
수탁사 대신 위탁사가 제재받은 이유
과징금 액수가 결정된 기준과 법적 의무
이관 서버 방치가 초래한 대규모 유출
•
해커는 2022년 7월 삼양그룹 내부 메일서버의 취약점을 이용해 관리자 권한을 먼저 확보했습니다. 이후 해커는 계열사들의 데이터 이관용으로 설치된 내부 파일서버의 인증정보를 빼내 침투했습니다.
•
그룹 시스템 관리를 맡은 삼양데이타시스템은 데이터 이관을 끝낸 뒤에도 해당 서버를 외부망과 연결된 채 방치했습니다. 그 결과 해커는 보안 통로가 열린 서버에 접근해 단기간에 대량의 자료를 외부 클라우드로 옮길 수 있었습니다.
•
유출된 자료는 삼양홀딩스와 삼양사, 삼양패키징 3개 사의 임직원과 주주 등 14만 9767명의 개인정보입니다. 유출 파일은 약 85만 개로 1.3TB 용량에 달하며, 여기에는 암호화되지 않은 8만 2750명분의 주민등록번호도 포함됐습니다.
수탁사 대신 위탁사가 제재받은 이유
•
개인정보 보호법상 전산 업무를 외부에 위탁하더라도 정보 보호와 감독에 관한 법적 책임은 원칙적으로 위탁자인 개인정보처리자에게 귀속됩니다. 따라서 서버 침해 사고에 따른 유출 책임과 주민등록번호 관련 과징금 처분은 위탁사인 삼양 3사를 주 대상으로 내려졌습니다.
•
삼양 3사는 삼양데이타시스템에 업무를 맡기면서 필수 절차인 개인정보 처리 위탁계약서조차 작성하지 않았습니다. 이들 계열사는 유출 사고가 발생한 지 2년 5개월이 지난 2024년 12월에야 뒤늦게 계약서를 사후 작성했습니다.
•
서버를 방치한 수탁사 삼양데이타시스템은 파일서버 접근통제 의무를 소홀히 한 책임으로 과징금 대신 시정명령 처분을 받았습니다. 아울러 개인정보보호위원회는 관리 의무를 소홀히 한 수탁사와 위탁사들에 대해 법 위반 처분 사실을 공식 공표하기로 의결했습니다.
과징금 액수가 결정된 기준과 법적 의무
•
이번 사건은 2022년 7월에 발생했기 때문에 2023년 9월 개정된 매출액 기준 과징금이 아닌 당시 시행되던 옛 개인정보 보호법이 적용되었습니다. 이에 따라 5억 원 이하의 정액 과징금 상한 규정이 적용되어 삼양 3사에 각각 1억 8400만 원씩 총 5억 5200만 원이 부과되었습니다.
•
조사 과정에서 보존 기간이 지난 일용직 근로자의 급여 정보를 파기하지 않거나 채용 과정에서 법적 근거 없이 주민등록번호를 모은 사실도 추가로 드러났습니다. 이에 따라 삼양홀딩스에 900만 원, 삼양패키징에 540만 원, 삼양사에 180만 원의 과태료가 각각 매겨졌습니다.
•
개인정보보호위원회는 사용을 마친 서버는 즉시 폐기하거나 외부 인터넷 접속을 차단해야 한다고 강조했습니다. 또한 불필요해진 개인정보를 기한에 맞춰 파기하고 암호화하는 등 기본적인 안전 의무를 다해야 피해 확산을 막을 수 있다고 당부했습니다.
이관 서버 방치가 초래한 대규모 유출
•
해커는 2022년 7월 삼양그룹 내부 메일서버의 취약점을 이용해 관리자 권한을 먼저 확보했습니다. 이후 해커는 계열사들의 데이터 이관용으로 설치된 내부 파일서버의 인증정보를 빼내 침투했습니다.
•
그룹 시스템 관리를 맡은 삼양데이타시스템은 데이터 이관을 끝낸 뒤에도 해당 서버를 외부망과 연결된 채 방치했습니다. 그 결과 해커는 보안 통로가 열린 서버에 접근해 단기간에 대량의 자료를 외부 클라우드로 옮길 수 있었습니다.
•
유출된 자료는 삼양홀딩스와 삼양사, 삼양패키징 3개 사의 임직원과 주주 등 14만 9767명의 개인정보입니다. 유출 파일은 약 85만 개로 1.3TB 용량에 달하며, 여기에는 암호화되지 않은 8만 2750명분의 주민등록번호도 포함됐습니다.
수탁사 대신 위탁사가 제재받은 이유
•
개인정보 보호법상 전산 업무를 외부에 위탁하더라도 정보 보호와 감독에 관한 법적 책임은 원칙적으로 위탁자인 개인정보처리자에게 귀속됩니다. 따라서 서버 침해 사고에 따른 유출 책임과 주민등록번호 관련 과징금 처분은 위탁사인 삼양 3사를 주 대상으로 내려졌습니다.
•
삼양 3사는 삼양데이타시스템에 업무를 맡기면서 필수 절차인 개인정보 처리 위탁계약서조차 작성하지 않았습니다. 이들 계열사는 유출 사고가 발생한 지 2년 5개월이 지난 2024년 12월에야 뒤늦게 계약서를 사후 작성했습니다.
•
서버를 방치한 수탁사 삼양데이타시스템은 파일서버 접근통제 의무를 소홀히 한 책임으로 과징금 대신 시정명령 처분을 받았습니다. 아울러 개인정보보호위원회는 관리 의무를 소홀히 한 수탁사와 위탁사들에 대해 법 위반 처분 사실을 공식 공표하기로 의결했습니다.
과징금 액수가 결정된 기준과 법적 의무
•
이번 사건은 2022년 7월에 발생했기 때문에 2023년 9월 개정된 매출액 기준 과징금이 아닌 당시 시행되던 옛 개인정보 보호법이 적용되었습니다. 이에 따라 5억 원 이하의 정액 과징금 상한 규정이 적용되어 삼양 3사에 각각 1억 8400만 원씩 총 5억 5200만 원이 부과되었습니다.
•
조사 과정에서 보존 기간이 지난 일용직 근로자의 급여 정보를 파기하지 않거나 채용 과정에서 법적 근거 없이 주민등록번호를 모은 사실도 추가로 드러났습니다. 이에 따라 삼양홀딩스에 900만 원, 삼양패키징에 540만 원, 삼양사에 180만 원의 과태료가 각각 매겨졌습니다.
•
개인정보보호위원회는 사용을 마친 서버는 즉시 폐기하거나 외부 인터넷 접속을 차단해야 한다고 강조했습니다. 또한 불필요해진 개인정보를 기한에 맞춰 파기하고 암호화하는 등 기본적인 안전 의무를 다해야 피해 확산을 막을 수 있다고 당부했습니다.
#삼양그룹
#삼양홀딩스
#삼양데이타시스템
#개인정보 유출
