또 터진 '인크루트 개인정보 유출'…개인정보위 조사 착수

이름·전화번호·생년월일 등 유출 정황
인크루트 "사건 경위 파악 중…외부 공격 추정"
개인정보위 "신고 접수…사실관계 확인 중"

▲인크루트가 3월 8일 이용자에게 '개인정보 유출 의심에 따른 안내 및 사과 말씀' 이메일을 보냈다. (독자 제공)

인사관리(HR) 플랫폼 인크루트에서 고객의 개인정보가 유출됐다. 이에 대해 개인정보보호위원회는 인크루트를 대상으로 조사에 착수할 계획이다.

10일 업계에 따르면, 인크루트는 개인정보가 유출된 것으로 의심되는 이용자에게 이메일을 통해 사과 메일을 보냈다. 인크루트 측은 "당사는 고객님의 개인정보 보호를 위해 최우선으로 노력해 왔으나, 외부 공격으로 일부 고객 정보가 유출된 것으로 의심할 만한 정황이 확인돼 안내드린다"고 공지했다. 인크루트 관계자는 "사건 경위를 파악 중"이라며 "현재까지 파악 중인 건 외부 공격에 의한 유출"이라고 설명했다.

유출로 의심되는 개인정보는 성명, 생년월일, 성별, 휴대전화 번호 등이다. 인크루트는 "정확한 유출 일시와 경위는 관련 기관과의 협조를 통해 파악하고 있으며, 확인되면 추가로 알려드리겠다"고 했다. 이어 인크루트는 '관련 IP 차단 조치', '시스템 취약점 점검 및 보완 조치', '시스템 모니터링 강화 조치' 등을 이행했다고 밝혔다.

이에 개인정보위도 '인크루트 개인정보 유출 사고' 조사에 나선다는 방침이다. 개인정보위 관계자는 "해당 사건 관련 신고가 들어왔고, 사실관계를 확인하고 있다"고 말했다. 유출 규모 및 경위, 개인정보보호법 준수 여부 등을 확인할 것으로 보인다.

앞서 인크루트는 2023년에도 이용자 개인정보 3만5076건을 유출해 개인정보위의 제재를 받은 바 있다. 인크루트에는 과징금 7060만 원과 과태료 360만 원을 부과됐다. 당시 개인정보위는 인크루트가 2020년 9월 해커의 크리덴셜 스터핑 공격을 당했음에도, 적절한 보안 조치를 수행하지 못했다고 봤다. 크리덴셜 스터핑 공격은 개인의 크리덴셜(인증정보)를 불법으로 수집한 후 이를 기반으로 웹서비스에 로그인하는 사이버 공격 수법이다. 개인정보위에 따르면, 인크루트는 이 같은 대규모 로그인 시도를 차단하는 조치를 이행하지 않았다. 휴면 계정 해제 시 추가 인증 없이 아이디와 비밀번호만으로 해제할 수 있도록 설정해, 접근통제 조치를 소홀히 하기도 했다.

이번 사건에 대해 인크루트는 "추가 피해 방지 및 예방을 위해 관련 기관 조사에 성실히 협조하고, 계속해서 고객 및 관계자들과 투명하게 소통하겠다"며 "고객 여러분께 머리 숙여 사과드린다"고 했다.