경영정보시스템 레포트 - 기업이 도입한 경영정보시스템으로 인해 발생한 소비자의 개인정보 침해 사례를 제시하고, 이에 대한

I. 서론

익명으로 들어간 오픈채팅방에서 닉네임을 바꾸면 나를 아는 사람이 없을 것처럼 느껴진다. 취미나 동네 정보처럼 가벼운 이야기를 나눌 때는 실명 서비스보다 부담도 적다. 나도 중고 물품 정보를 얻으려고 오픈채팅방에 들어간 적이 있는데, 프로필을 따로 만들 수 있다는 점 때문에 개인 계정과 어느 정도 분리됐다고 생각했다. 경영정보시스템 수업에서 개인정보 사고를 다루며 카카오 오픈채팅 사건을 확인하고 나서는 그 생각이 달라졌다. 화면에서 익명으로 드러나는 모습과 시스템 안에서 식별 가능성이 낮은 것은 같은 말이 아니었다. 서비스 운영에 필요한 여러 식별자가 다른 정보와 결합되면 소비자가 예상하지 못한 방식으로 개인을 찾아낼 수 있다. 이 사건은 정보시스템이 편리한 기능을 연결할수록 보안 통제도 그 연결 관계를 따라가야 한다는 점을 잘 보여 준다.

II. 본론

1) 익명 대화 뒤의 식별정보가 결합된 카카오 오픈채팅 사고

개인정보보호위원회는 2024년 5월 카카오에 151억 4,196만 원의 과징금과 780만 원의 과태료를 부과하고 시정명령과 처분 결과 공표를 의결했다. 조사 대상은 카카오톡 오픈채팅 이용자 개인정보가 불법 거래된 사건이었다. 개인정보위 조사에 따르면 해커는 오픈채팅방의 취약점을 이용해 참여자 정보를 얻고 카카오톡 친구추가 기능과 불법 프로그램 등을 활용해 다른 이용자 정보를 확보했다. 이후 회원일련번호를 기준으로 정보를 결합해 개인정보 파일을 만들고 판매했다. 소비자가 오픈채팅에서 보는 닉네임만 유출된 문제가 아니라 서로 다른 시스템 정보가 연결되며 식별 가능성이 생긴 사건이었다.

카카오톡 같은 대규모 플랫폼은 가입자 관리, 친구 관계, 메시지 전달, 채팅방 운영, 신고 처리, 광고와 고객지원 등 여러 기능이 같은 서비스 안에서 움직인다. 경영정보시스템 관점에서 보면 각 기능은 업무를 빠르게 하고 대량의 이용자를 관리하게 해 주는 장점이 있다. 문제는 업무 효율을 위해 만든 식별값이 공격자에게도 연결 고리가 될 수 있다는 점이다. 내부에서 한 이용자를 구분하려고 쓰는 번호가 외부에서 얻은 전화번호나 프로필 정보와 결합되면 익명성의 경계가 무너진다. 정보 자체가 따로 있을 때는 의미가 작아도 연결할 수 있는 키가 있으면 위험이 커지는 전형적인 사례다.

개인정보위는 카카오가 서비스 제공 과정에서 안전조치 의무를 충분히 이행하지 않았고 유출 신고와 이용자 통지도 소홀히 했다고 판단했다. 오픈채팅 서비스에 쓰인 일부 식별정보와 관련한 취약점을 알고도 필요한 보호조치를 제때 갖추지 않았다는 판단이 제재의 핵심에 놓였다. 기업 입장에서는 내부 식별자라서 개인정보가 아니라고 볼 여지가 있다고 주장할 수 있지만 공격자가 현실적으로 다른 자료와 결합해 이용자를 알아낼 수 있다면 위험 평가는 달라져야 한다. 정보의 이름보다 실제 이용 환경에서 어떤 결합이 가능한지가 더 중요하다.