키즈플랫폼 ‘보안 관리’, 이대로 괜찮나

시사위크=이미정 기자  웅진씽크빅 계열사 웅진컴퍼스가 운영하는 어린이 여가·체험 플랫폼인 ‘놀이의발견’에서 고객 6만7,000명의 개인정보가 유출되는 사고가 발생했다. 최근 아동·학부모를 타깃으로 삼는 키즈 및 교육 플랫폼을 대상으로 해킹 사고가 늘고 있는 가운데 개인정보 및 보안관리가 강화가 과제로 떠올랐다. 

◇ 교육업체 이어 키즈플랫폼도 해킹… 놀이의발견 개인정보유출

웅진컴퍼스는 지난 21일 놀이의발견 앱 공지를 통해 회원정보가 유출됐다는 사실을 알리면서 회원에 대한 사과문을 올렸다. 

웅진컴퍼스에 따르면 유출 사고는 지난 18일 오후 6시 45분부터 19일 오전 0시 50분 사이에 발생한 것으로 파악됐다. 외부 비인가자가 관리 시스템인 백오피스에 불법으로 접근해 회원 정보를 조회했다는 게 회사 측 설명이다. 웅진컴퍼스는 19일 오전 이상 징후를 감지해 즉시 접근을 차단했다고 밝혔다.

유출된 정보는 회원 약 6만7,000명의 △닉네임 △휴대전화번호 △이메일주소 등이다. 웅진컴퍼스는 사고 이후 한국인터넷진흥원와 개인정보보호위원회에 신고를 한 뒤, 서초경찰서에도 수사를 의뢰했다.

웅진컴퍼스 측은 이번 사고와 관련해 △불법 접근 경로 차단 및 관리시스템 외부 접속 차단 △관리자 계정 비밀번호 변경, 의심 계정 이용 정지 등의 후속 조치를 취했다. 아울러 관리자 계정에 대해 2차 인증 적용해 접근을 통제하고 이상행위 모니터링 강화하겠다고 밝혔다. 

웅진컴퍼스가 운영하는 ‘놀이의발견’은 어린이와 가족을 대상으로 체험학습, 숙박, 놀이시설, 등 다양한 여가 상품의 예약과 구매를 중개하는 플랫폼이다. 전체 회원은 230만명이다. 현재로선 회원 중 2.9% 가량으로 유출 피해를 본 것으로 파악된다.    

놀이의발견은 회원 동의로 다양한 정보를 수집 중이다. 회원의 필수 정보(닉네임, 비밀번호, 휴대번호 등) 외에도 개인 맞춤형 서비스 제공을 위해 선택항목으로 자녀의 일부 정보(자녀의 나이, 성별, 이름 또는 닉네임) 등을 수집할 수 있다. 

대한민국 개인정보 보호법에 따라 만 14세 미만 아동의 개인정보를 수집할 때는 반드시 법정대리인(보호자)의 동의를 얻어야 한다. 놀이의발견 역시 가입 및 서비스 이용 과정에서 보호자가 직접 자녀 정보를 입력하고 동의하는 절차를 거쳐 정보를 관리하고 있다. 

놀이의발견의 주요 회원은 유아와 초등학생 자녀를 둔 부모다. 이에 유출 피해 주요 대상도 성인 학부모로 파악된다. 아이 관련 정보는 주요 유출 대상이 아닌 것으로 전해졌지만 조사 결과는 지켜봐야 할 것으로 보인다.

문제는 최근 아동·학부모를 타깃으로 삼는 키즈 및 교육 플랫폼 해킹 사고가 급증하면서 사회적 우려를 낳고 있다는 점이다. 

올해 1월엔 교원그룹이 랜섬웨어 공격으로 주요 계열사의 전산망이 마비되는 사고가 발생했다. 당시 교원과 교원구몬, 교원위즈, 교원라이프 등 8개 계열사가 이 같은 공격으로 전산장애를 겪었다. 이후 데이터 외부 유출 정황도 확인됐다. 교원그룹이 학습지 사업을 영위하고 있는 만큼 학부모들이 사이엔 자녀의 개인정보 유출 우려도 제기됐다. 다만 아직까지 개인정보유출 정황은 확인되지 않았다. 수사당국은 이에 대해 수개월째 조사 중이다.

키즈·교육 플랫폼은 일반 플랫폼보다 훨씬 민감한 정보를 다룬다. 서비스 특성에 따라 다르지만, 아이의 이름, 생년월일, 성별은 물론 사진, 건강정보, 위치, 성장 과정에 이르기까지 내밀한 정보가 축적될 수 있다. 해킹 공격으로 이 같은 정보가 유출될 시엔 심각한 2차 범죄로 이어질 위험성이 높아, 일반 플랫폼보다 훨씬 엄격하고 철저한 보안 관리가 필요하다. 

◇ 걱정 깊어진 키즈 및 교육업계… 보안관리 강화 숙제로

이에 따라 우리나라는 만 14세 미만 아동의 개인정보를 수집할 때는 법정대리인의 동의 절차를 거치도록 하고 있다. 개인정보보호위원회는 ‘아동·청소년 개인정보 보호 안내서’를 발간해 플랫폼 기업들에게 강력한 세부 지침을 제공하고 있다. 개인정보 보호 중심 설계를 하고 과도한 정보 수집을 제한하고 데이터 암호화를 강화하도록 권고하고 있다.

해킹 수법이 고도화되면서 아동 보안 관리 중요성은 더 커지는 모습이다. 키즈 플랫폼과 교육 업계에서도 보안 우려가 깊어진 모습이다. 

한 키즈 플랫폼 관계자는 “해킹 사고가 업권을 가리지 않고 광범위하게 일어나고 있다보니 걱정이 많은 것은 사실”이라며 “현재 개발팀에서 해킹을 대비해 보안을 강화하는 작업을 진행 중”이라고 말했다. 아동의 개인정보수집과 관련해선 “현재 당사는 과도한 정보를 수집하지 않고자 하고 있다”며 “맞춤형 서비스 제공을 위해 자녀의 성별과 나이 등을 수집하고 있기는 하지만 이는 선택사항”이라고 덧붙였다. 보수적으로 정보를 수집하는 배경에 대해선 “보안 이슈를 고려한 결정”이라고 전했다. 

교육업계 관계자도 “개인정보보호법을 준수하면서 보안 관리를 이어가고 있다”며 “아동의 정보는 법정대리인의 동의하에 최소한 정보만 수집해 엄격하게 관리하고 있다”고 설명했다.

이용준 극동대 해킹보안학과 교수는 “최근 해킹 공격은 특정 산업만이 아닌 전산업을 공격이 확대되는 추세”라며 “키즈 및 교육 서비스 경우 성인뿐 아니라 개인정보보호법 상 14세 미만 미성년 정보가 유출될 경우 성인 되기전에 개인정보 유출로 인한 지속적 피해가 발생할 수 있어 보안 강화가 시급하다”고 지적했다.  

이어 “키즈, 교육 서비스 경우 중소기업, 스타트업이 많아 규제만으로는 보안 강화가 어렵다”며 “보안인력 채용, 보안장비 지원을 강화하는 한편, 키즈, 교육 산업에 대한 사이버위협 정보공유 체계를 강화해 관련 산업에 대한 보안위협, 사고사례 전파가 실시간으로 제공이 필요하다”고 덧붙였다. 

본지는 웅진컴퍼스 측에 이번 유출 사고에 아이의 정보도 포함됐는지 여부와 개인정보 관리 정책에 대해 묻고자 여러 차례 회사에 접촉을 시도했지만 담당자로부터 회신을 받지 못했다.