이름만 쳐도 주소 노출, 고객센터 개인정보 보안 강화된다

배달의민족 사건 계기로 대대적 실태점검 실시

개인정보보호위원회가 다량의 고객 정보를 다루는 고객센터의 상담사 접근 권한을 축소하고 보안 통제를 강화하도록 권고하고 나섰다. 개인정보위는 지난 29일, 제21회 위원회 전체회의를 통해 고객센터의 개인정보 처리 실태점검 결과를 검토하고 시정조치안을 의결했다고 발표했다. 이번 점검은 지난 3월 발생한 배달의민족 외주 고객센터 위장 취업 사건에서 비롯되었다. 당시 범죄 조직원이 고객 정보를 무단 탈취해 보복 범죄에 활용한 사건이 계기가 된 것이다. 점검 범위에는 쿠팡, 지마켓, SK브로드밴드, CJ ENM, 위대한상상 등 서비스 사업자 5개사와 메타엠, 유베이스, 트랜스코스모스코리아, 휴넥트 등 운영사 4개사가 포함되었다.

이름 하나에 주소까지... 보안 취약점 드러난 현장

실태점검 과정에서 일부 고객센터의 보안 허점이 드러났다. 고객의 성명이나 전화번호 같은 단편적인 정보만 입력해도 상세 주소까지 한꺼번에 조회되는 현상이 포착되었다. 상담 화면상에서도 이름과 연락처, 주소 등이 별도의 마스킹 처리 없이 그대로 노출되는 사례가 확인되었다. 또한 외부에서 상담 시스템에 접속할 때 보안 인증 수단이 미비하거나, 접속 기록을 법정 의무 보관 기간보다 짧게 유지하는 사업자들도 나타났다. 점검을 통해 상당수 미흡 사항이 개선되었으나, 아직 조치가 완료되지 않은 부분들에 대해서는 시정 권고가 내려졌다.

개인정보 오남용 막을 '4대 행동수칙' 도입

개인정보위는 상담 과정에서의 정보 오남용을 원천 차단하기 위해 '고객센터 개인정보 보호 4대 행동수칙'을 발표했다. 구체적인 수칙으로는 상담 업무에 필수적인 정보만 조회 및 표시하도록 하는 것, 업무 권한이 있는 인원만 접근을 허용하도록 통제하는 것, 개인정보 조회 이력을 관리하고 이상 징후를 점검하는 것, 그리고 상담사와 운영사에 대한 관리·감독을 강화하는 것이 포함되었다. 개인정보위 관계자는 이번 점검에서 발견된 개선 사항들이 제대로 이행되는지 지속적으로 확인할 예정이며, 업계 설명회를 개최하는 등 고객센터의 개인정보 보호 체계를 더욱 공고히 하겠다고 밝혔다.