카카오톡이 또다시 곤혹스러운 상황에 처했다. 개인정보보호위원회가 카카오톡 오픈채팅방 이용자들의 개인정보 유출 사건에 대한 조사 결과, 카카오에 151억4196만원의 과징금과 780만원의 과태료를 부과하기로 결정했기 때문이다. 개인정보보호위는 카카오가 이용자 개인정보 보호를 위한 안전 조치를 소홀히 하고, 신고·유출 통지 의무를 다하지 않았다고 판단했다.
개인정보보호위는 지난해 3월 한 업체가 카카오톡 오픈채팅방 이용자들의 아이디 정보를 추출해 다른 개인정보와 결합하는 방식으로 이름, 휴대전화번호 등 개인정보를 수집해 시중에 판매한 사건에 대해 조사를 시작했다. 당시 이들은 “원하는 오픈채팅방을 알려주면 그곳의 이용자 정보를 주겠다”고 직거래 방식으로 영업을 했다.
이러한 행각이 가능했던 이유는 카카오가 취약하게 운영했던 ‘회원 일련번호와 임시 아이디(ID)’ 제도 때문이었다. 개인정보보호위는 “카카오는 익명 대화방인 오픈채팅을 운영하면서 임시 아이디(ID)를 부여할 때 카카오톡 회원의 고유한 일련번호와 연계시켜 암호화 없이 사용했다”며 “임시 아이디를 회원 일련번호와 전혀 다르게 생성했거나 암호화했다면 문제가 일어나지 않았을 것”이라고 지적했다.
또한, 개인정보보호위는 카카오가 2020년 8월 암호화를 도입한 뒤에도 기존에 개설된 오픈채팅방에서 이전 방식의 임시 아이디를 확인할 수 있는 취약점이 존재했다고 밝혔다. 결국 이러한 취약성을 이용해 해커는 오픈채팅방 참여자 정보를 알아내고, 카카오톡의 친구추가 기능 등을 이용해 일반채팅 이용자 정보까지 알아낸 것으로 드러났다. 개인정보보호위는 해커가 이 정보들을 ‘회원일련번호’를 기준으로 결합해 카카오톡 사용자이름, 전화번호 등의 개인정보를 생성하고, 판매한 것으로 파악했다. 이렇게 판매된 개인정보는 스팸 발송 등에 쓰여 2차 피해로 이어졌다.
개인정보보호위는 조사 과정에서 카카오가 “오픈채팅방과 일반채팅방의 공개 정보이기 때문에 우리 쪽 개인정보 유출이 아니”라고 주장했지만, 개인정보보호위는 “두 정보가 연결되는 형태로 만들어져 익명 서비스인 이용자들의 이름과 휴대전화번호까지 알려진다는 것은 프라이버시 측면에서 심각한 문제로 이걸 개인정보 유출이 아니라고 보기는 어렵다”고 반박했다.
개인정보보호위는 또한 “개발자 커뮤니티 등에 카카오톡 개발도구(API) 등을 이용한 각종 악성 행위 방법이 이미 공개되어 있었는데도, 카카오는 이를 통한 개인정보 유출 가능성 등에 대한 점검과 조치를 제대로 하지 않았던 사실도 확인했다”고 밝혔다.
이번 처분으로 카카오는 151억원이 넘는 과징금을 부과받게 되었으며, 앞으로 개인정보 보호에 대한 책임감을 더욱 강화해야 할 것으로 보인다.
한편, 카카오톡은 최근 잦은 서비스 장애로 이용자들의 불만이 폭발하고 있다. 지난 20일과 21일 연이어 메시지 발신과 로그인 오류가 발생했으며, 지난 13일에도 유사한 문제가 발생했던 것으로 알려졌다. 카카오톡 측은 당시 내부 시스템 작업이 원인이라고 설명했지만, 잦은 오류로 이용자 불편이 가중되고 있어 원활한 서비스 제공을 위한 대책 마련이 시급해 보인다.
