크리스티스 개인정보 유출 제재: 비밀번호 재발급·주민등록번호 수집 점검

한 줄 결론

쇼핑몰·예약·경매·중개 서비스는 “고객센터가 계정을 복구해 주는 절차”를 가볍게 보면 안 됩니다. 비밀번호 재발급, 전화번호 변경, 주민등록번호 보관, 유출 신고 시간이 모두 제재 포인트가 될 수 있습니다.

공식 자료로 확인된 내용

• 개인정보위는 크리스티스에 과징금 2억 8,000만 원, 과태료 720만 원, 처분 사실 공표 명령을 부과했습니다.
• 해커가 헬프데스크 직원을 보이스피싱으로 속여 개인정보처리시스템 접근 권한을 얻었고, 한국 회원 620명의 개인정보가 유출됐다고 설명했습니다.
• 비밀번호 재발급 요청 시 문자·이메일 인증 등 별도 안전한 인증수단 없이 간단한 정보만 확인한 점이 지적됐습니다.
• 주민등록번호, 여권번호, 운전면허번호 등 고유식별정보를 암호화 조치 없이 저장한 점도 확인됐습니다.
• 법령상 근거 없이 한국인 회원의 주민등록번호를 수집·보관했고, 유출 인지 후 72시간을 넘겨 신고·통지한 점도 문제로 제시됐습니다.

온라인 사업자가 바로 점검할 부분

회원 계정 복구는 고객 편의 기능이지만, 공격자가 가장 자주 노리는 통로이기도 합니다. 특히 관리자나 상담원이 전화로 비밀번호 초기화, 휴대폰 번호 변경, 본인확인 정보 변경을 처리할 수 있다면 별도 인증과 승인 기록이 필요합니다.

실무 체크리스트

• 비밀번호 재발급과 휴대폰 번호 변경은 기존 이메일·휴대폰 인증, 관리자 2인 승인, 변경 알림 중 최소 하나 이상이 작동하도록 설계합니다.
• 상담원이 고객의 주민등록번호 전체를 볼 수 없게 마스킹하고, 수집 자체가 필요한지 법적 근거를 재검토합니다.
• 여권번호, 운전면허번호, 외국인등록번호 등 고유식별정보는 저장 여부와 암호화 여부를 분리해 점검합니다.
• 헬프데스크 직원 대상 보이스피싱·사회공학 공격 대응 교육을 정기적으로 실시합니다.
• 유출 의심 시점부터 72시간 이내 신고·통지가 가능한 담당자, 승인권자, 문안 템플릿을 미리 정합니다.

실무자가 오해하기 쉬운 부분

기존 초안은 “개인정보 유출 사업자 제재” 수준으로 넓게 작성되어 있었습니다. 이번 글은 공식 원문에서 확인된 비밀번호 재발급 인증수단 미흡, 고유식별정보 암호화, 주민등록번호 처리 근거, 72시간 신고·통지 이슈로 좁혀 실무 점검형으로 다시 구성했습니다.

공식 출처

• 개인정보보호위원회 보도자료 원문