2011년 4월에 일어난 현대캐피탈 43만명 고객정보 유출 사건 같은 충격적인 고객정보 대량 유출 사건이 2008년 9월에 일어났다. 이름하여 GS칼텍스 1151명 고객정보 유출 사건이다. 이미 3년이라는 기나 긴 세월이 흘러 2011년 5월이 되었다. 세상 사람들은 GS칼텍스 고객정보 유출 사건은 이미 사람들 뇌리에서 다 잊혀진 사건이라고 치부할 수도 있겠지만, 놀랍게도 이 사건은 현재 소송이 진행중인 현재진행형 사건이다.

<재난포커스 - 채상진기자>

GS칼텍스 손해배상 1심 재판, 원고 수는 2만 8000여명

1심(서울중앙지법 2008가합88370)에서 고객정보가 유출된 GS칼텍스 고객들이 패소하기는 했지만 바로 항소에 들어가서 현재 서울중앙지법 제16민사부에서 GS칼텍스 고객정보 유출 사건에 대한 손해배상 사건을 심리중이다. 2심 사건번호는 서울중앙지법 2010나102405. 원고는 임원길 외 1003명, 그리고 병합사건의 원고 458명이다. 총1462명의 원고가, 피고인 GS칼텍스, GS넥스테이션과 법정 혈투를 벌이고 있다. 4월 28일에도 변론기일이 잡혀서 원고와 피고는 치열하게 날선 공방을 벌였다. 고객정보 유출 규모가 1151만명이나 되고 사건내용도 방대해서 2심 재판도 단시간내에 마무리될 것으로 보이진 않는다.

참고로 1심 재판에 참여한 원고 수는 2만 8000여명이다. GS칼텍스 입장에서는, 1151만명 고객정보 유출 사건은 기업신뢰도를 단번에 땅속으로 떨어뜨린 대표적인 기업재난이라고 기업재난전문가들은 말한다. 1000만명이면 우리나라 가구당 1명의 가장이 평균적으로 이 DB 안에 포함되었다고 해도 과언이 아닐 정도로, 큰 수치이다. 하지만 기업재난 전문가들은 큰 기업재난을 무난하게 잘 처리한 사건으로 GS칼텍스 고객정보 유출 사건을 꼽는데 주저하지 않는다.

먼저 이 사건 개요를 살펴보자. 2008년 7월경 GS칼텍스 칼텍스 자회사인 GS넥스테이션에서 시스템 및 네트워크 관리를 맡고 있던 직원 정모씨(당시 28세)는 고등학교 친구인 왕씨, 후배 김씨 등과 같이 범행을 모의했다. 정씨는 업무 중 갖고 있던 GS칼텍스 고객 정보를 갖고서 돈을 벌 생각을 하던 중 사진 스튜디오에서 근무하던 사회 후배 김모씨를 만나서, 돈이 될 것 같다는 얘기를 듣고서는 정보 유출을 모의했다.

그해 7월,8월 정씨는 GS칼텍스 보너스카드 고객 DB(데이터베이스) 서버에 접속해서, 주민등록번호, 이름, 주소, 자택 및 휴대폰 전화번호, 이메일 정보 등 개인정보를 꾸준히 뽑아서 개인적으로 보관했다. 이 과정에서 정씨는 상급자 결재를 받아서 수십차례에 걸쳐서 계획적으로 고객 정보를 빼냈다. 정씨가 1151만명 GS칼텍스 고객정보를 빼내는 방법은 생각보다 엄청나게 단순했다.

사무실 내 자신의 PC를 통해서 고객정보를 복사하고, 이를 다른 파일로 저장하는 방식이었다. 사건 초기에 GS칼텍스는 고객정보를 다운로드 하는 기능이 없어서 PC로 고객정보 데이터를 내려받을 수 없다고 발뺌을 했지만 이는 사실과 달랐다. 경찰은 DB를 직접 다운받을 수는 없지만, 복사라는 간단한 방법으로 고객정보 데이터를 PC에 내려받을 수 있었다고 설명했다.

 “유출된 고객정보엔 김형오 국회의장 정보도 들어 있어”

8월 29일 정씨가 빼낸 정보를 GS넥스테이션 여직원 배모씨가 엑셀 파일 형태로 변환했고, 이를 왕씨와 김씨가 새로운 DVD 6장으로 복사했다. 8월 29일부터 9월 1일까지 왕씨와 김씨는 고객 DB를 파는 방법을 모색했다. 9월 2일 김씨는 “유흥가 뒷 골목에서 DVD를 주웠다”면서 3개 언론사에 뉴스거리를 제보했다. 정씨는 1151만명 개인정보 유출 사건이 사회적 이슈가 되면 정씨가 갖고 있는 정보 가치가 더욱 더 커진다고 판단해서 언론사 접촉에 나섰다고 말했다. 하지만 이는 오판이었다.

개인정보 유출 파문이 커지면서 경찰은 즉각 주범 찾는 일과 정보유출 파장을 줄이는 일에 나섰기 때문이다. 사건 직후에 정씨 등 범인 일당이 검거됐다. GS칼텍스 사건은 1151만명이라는 사고 규모도 엄청난 규모지만, 정부 고위공직자 이름과 주민등록번호, 이메일 주소 등 민감한 정보가 유출됐다는 점에서 더욱 더 충격적이었다. 특히 그 당시 김형오 국회의장, 청와대 정동기 민정수석, 정진곤 교육과학문화수석, 원세훈 행정안전부 장관, 이상희 국방부 장관, 김회선 국가정보원 2차장, 어청수 경찰청장 등 주요 공직자 개인정보가 모두 다 유출된 것으로 알려졌다.

이 기업재난이 발생하자, GS칼텍스 고객들은 “귀중한 고객정보는 마케팅에 마구잡이로 이용하고, 보안관리는 엉망으로 했다”면서 거세게 반발했다. 소비자단체들은 GS칼텍스 같은 정유사들이 주민등록번호나 전화번호 같은 개인정보를 너무 많이 요구하는 것은 분명히 문제라고 지적하면서, GS칼텍스 같은 사기업이 개인정보를 과도하게 이용하는 것에 대해서 규제해야 한다고 덧붙였다. 그 당시 경찰은 범인들이 빼낸 정보가 시중에 유통되었을 가능성에 대해서 수사를 벌였다. 개인정보가 시중에 유통이 되면 명의도용이나 금융사기 같은 범죄에 이용될 가능성도 커지고, 대규모 2차 금융 피해가 일어날 가능성도 커진다.

회사측, 법적 책임 안 지려고 소송 계속 진행

GS칼텍스 1151만명 개인정보 유출 사건이 일어나기 이전에 GS칼텍스 보안수준은 허술하기 짝이 없었다. 우선 관리자, 사용자에 대한 교육이 미비했다. 단순한 비밀 유지서약서를 쓰기만 하면 되는, 그런 평범한 수준이었다.

기업 재난관리에 대한 전문적인 교육도 미비했다. 데이터베이스 조회권한 제한 및 보안 절차에도 허점이 많았다. 최소한의 업무 담당자만 정보에 접촉하는 권한을 갖고 있었다.

조회 로그를 남기고 검색이 가능했다. 권한자는 12명으로 제한이 되어 있었다. 하지만 1151만명 고객 정보 유출 사건에서 알 수 있듯이, 하위 직원인 정씨는 내부 결재를 통해서 마음대로 고객정보를 손에 넣을 수 있다는 점에서, 이런 GS칼텍스 보안절차는 빈틈이 많다는 비판을 면치 못했다. 모니터링 및 감사 활동도 부족했다.

GS넥스테이션 직원인 정씨가 두달 동안 수십차례에 걸쳐서 고객정보를 복사를 통해서 내려 받았고, USB나 CD롬에 담아서 외부로 빼냈지만 GS칼텍스는 이를 전혀 몰랐다. 고객정보에 대한 암호화도 없었다. 고객정보가 암호화 되어 있지 않기에 정씨는 마음대로, 그리고 특별한 기술이 없어도 1151만명 고객정보를 모두 다 갖고 갈 수 있었다. 정씨 등은 사후에 형사처벌을 받기는 했지만 GS칼텍스 입장에서 이는 사후약방문에 불과했다.

서울중앙지법 형사3단독 엄상필 판사는 2009년 1월 개인정보를 팔아 돈을 챙길 목적으로 GS칼텍스 고객 1151만명의 개인 정보를 빼낸 혐의로 정씨에 대해 징역 1년 6개월을 선고했다. 1151만명 정보유출이라는 기업재난이 일어나자 GS칼텍스는 발빠르게 이에 대처했다. GS칼텍스는 솔직하게 잘못한 점을 사과했고, 재난위기 극복과정을 투명하게 공개했다. 재난위기 일도 신속하게 처리해 나갔다.

이는 평상시에 GS칼텍스가 전사적 위기관리 전략에 따라서 사원부터 사장까지 일사불란하게 위기에 대처해 왔기 때문이다. GS칼텍스의 가장 큰 무기는 솔직하게 기업내부 사정을 고객들에게 알려준 점이었다. 기업재난이 발생하자 GS칼텍스는 우선 솔직하게 사과했다. 평상시에 허동수 회장은, 우선 숨김없이 밝히고 고객 피해를 최소화하는데 최선을 다하라고 했고, 이같은 고객 소통원칙을 그대로 위기 시에 반영했다. 투명성도 장점이었다.

기업재난이 닥치면 보통 해당 분야 이사들이 언론 등에 나서는 것이 관례다. 모든 기업재난에 대해서 일일이 사장이 다 나선다는 것도 사실 현실적으로 쉽지 않은 일이다. 하지만 그 당시 나완배 사장은 대중들 앞에서 사과했고, 재발 방지를 약속했다. 나 사장은 회사 위기를 진두지휘하는 모습을 직접 보여주었다. 이것이 기업신뢰로 이어졌음은 두말한 나위가 없다. 하지만 GS칼텍스 사건은 여전히 GS칼텍스에게는 부담이다. 특히 2심 재판이 오늘도 계속 진행되고 점은 치명적인 부담이다.

GS칼텍스가 1차 소송에는 승소 판결을 받았지만, 패소한 GS칼텍스 고객들 2만 8000여명이 GS칼텍스에 대해서 갖게 되는 부정적인 이미지는 부인할 수 없다. GS칼텍스가 2심에서 승소판결을 받는다고 해도, 부정적인 이미지는 지워지지 않는다. GS칼텍스가 2심에서 승소하면, GS칼텍스는 입으로만 고객들에게 사과한다고 하면서, 법적으로, 현실적으로 고객정보 유출에 대해 아무런 책임을 지지 않게 되는 셈이 된다.

 기업재난 전문가들은 입으로만 사과하고, 법적, 현실적으로 책임을 전혀 지지 않으려고 하는 GS칼텍스 모습은, 대기업이 가져야 할 자세가 아니라고 일침을 놓는다. GS칼텍스 고객인 2만 8000명 소송당사자와 1151만명 정보유출 고객들 마음을 진정으로 어루만지고 재발방지를 약속하고, 사과하는 자세야말로‘진정한 사과’라고 기업재난 전문가들은 지적한다. GS칼텍스 같은 기업에서 재난관리는 필수적이다. 기업에게 먹장구름과 같은 게 바로 기업재난이다.

기업재난이 한번 생기면 쉽게 잊혀지지 않는다. 전사적 위기관리를 아무리 잘 해서 그 순간 위기를 모면했다고 해도, 부실한 관리로 인해 생긴 기업재난 기록은 영원히 지워지지 않는다. 위기모면 식의 기업관리만 갖고서는 기업재난을 영원히 막을 수는 없다. 기업의 내부 업무체계를 완전히 새롭게 정비하고, 새로운 시스템으로 바꾸지 않으면 기업재난은 차후에 다반사처럼 일어날 수 밖에 없다.

기업재난 이후 2차, 3차 기업재난이 더 무서워

기업재난 전문가인 김용규 재난관리지도사(코스콤 보안관리실장)은 “기업은 본질적으로 제도와 시스템을 통해서 사전에 재난방지에 나서는 것이 중요하다”고 지적한다. 예를 들어 코스콤 같은 경우 문서유출을 원천적으로 봉쇄하는 DRM 시스템을 사용하는데, 이를 도입하면 문서보안이 완벽하게 된다는 설명이다. 문서저장은 되어도 유출이나 다운은 불가능하게 된다.

김용규 지도사는 “기업재난은 그 후에 이어지는 2차, 3차 기업재난이 더 무섭다”는 말도 잊지 않는다. GS칼텍스의 경우, 개인정보 유출로 말미암아 2차, 3차 금융피해가 일어날 수도 있었다는 점을 마음에 새겨야 한다고 그는 말한다. 재난전문가들은, GS칼텍스 사건 같은 경우, 고객 정보를 보호하는 보안절차가 완벽해야 하며, 이같은 보안절차 자체에 대해서 항상 모니터링을 하고 감사를 해야 한다고 진단한다.

안 그러면 고객정보 대량 유출이라는 기업재난이 반복될 수 있다는 얘기다. 로그인을 하고 기록을 보았다는 근거를 남기는 것만 해서는 부족하다는 지적이다. 중요한 길목을 책임자가 완벽하게 차단해야 한다. 고객정보 같은 중요한 자료가 유출되면 기업은 이미 심대한 타격을 입는다. 실제 GS칼텍스, GS넥스테이션은 현재 1462명의 GS칼텍스 고객과 2심 소송을 하면서 힘겨운 나날을 보내고 있다. 이런 기업재난을 발생시키지 않으려면 고객정보 데이터를 외부로 유출할 수 있는 통로를 원천적으로 없애버려야 한다고 기업재난 전문가들은 조언한다.

예를 들어 CD나 USB, 웹하드, 이메일, 복사 등을 통해서 정보가 유통될 수 있는 길을 사전에 모두 다 제거해야 한다는 얘기다. 보안 등급에 따라서 책임자들이 현실적으로 책임지는 시스템 구축도 필요하다. 고객 정보를 조회하는 모든 시도는 로그기록으로 남겨야 하고 최소한의 인원만이 접속을 할 수 있게 제한해야 한다. 고객 정보를 모니터링한 결과를 사용자들에게 알려주고 교육시키는 일도 필요하다. 기업 재난관리의 중요성을 사전에 직원들에게 주기적으로 교육시키는 일도 반드시 필요하다고 전문가들은 지적한다.