옥션 개인정보 유출 사건 (2008)

이베이가 운영하던 국내 대형 오픈마켓 옥션이 해킹으로 회원 개인정보가 대량 유출됐다고 공식 발표했다. 당초 전체 회원의 약 60%에 해당하는 1081만 명의 이름, 주민등록번호, 계좌정보 등이 빠져나간 것으로 파악됐다. 이는 당시 국내에서 발생한 개인정보 유출 사고 중 사상 최대 규모였다. 옥션은 홈페이지 공지를 통해 회원들에게 비밀번호 변경과 주의를 당부했다. 이 사건은 국내 전자상거래와 정보보안 전반에 대한 경각심을 크게 높이는 계기가 됐다.

경찰과 옥션의 조사 결과 20대 중국인 해커가 웹 서버의 취약점을 이용해 메인 데이터베이스 서버에 접근한 것으로 드러났다. 해커는 방화벽과 보안장비를 우회해 회원 정보가 담긴 데이터베이스를 통째로 빼낸 것으로 파악됐다. 국경을 넘나드는 해킹이라 범인 특정과 신병 확보가 쉽지 않아 수사에 어려움이 컸다. 이 사건은 국외에서 이뤄지는 사이버 침해에 대한 국내 대응 체계의 한계를 드러냈다. 유출된 정보는 이후 보이스피싱 등 2차 범죄에 악용될 우려가 제기됐다.

중국에 거주하던 한국인 김모 씨가 유출된 개인정보 파일을 입수해 옥션을 협박한 사실이 드러났다. 그는 해킹 사실과 회원 정보를 언론과 인터넷에 공개하겠다며 옥션 측에 14억 원을 요구한 것으로 알려졌다. 정보유출 사고가 단순 해킹을 넘어 금전 갈취로 이어진 전형적 사례였다. 협박 사건이 알려지면서 유출된 개인정보의 실제 유통 가능성에 대한 회원들의 불안이 커졌다. 수사당국은 협박 경위와 파일 유통 경로를 함께 추적했다.

정보유출 피해 회원들이 옥션을 상대로 대규모 손해배상 청구소송에 나서면서 소송인단이 14만6000여 명에 달했다. 소송가액은 무려 1570억 원 규모로, 국내 개인정보 소송 역사상 최대 규모였다. 회원들은 옥션이 개인정보를 안전하게 관리할 의무를 다하지 못했다며 위자료를 청구했다. 인터넷 카페 등을 중심으로 원고를 모집하는 방식이 확산되며 사회적 관심을 모았다. 이 소송은 이후 개인정보 유출 손해배상 기준을 둘러싼 중요한 시금석이 됐다.

옥션은 2010년 3월 정보유출 피해 대상이 당초 발표한 1081만 명이 아니라 사실상 전체 회원인 1860만 명이라고 최종 발표했다. 초기 발표보다 피해 규모가 크게 늘어나면서 사고 대응의 신뢰성에 대한 비판이 다시 제기됐다. 유출 범위가 넓어지자 진행 중이던 소송과 배상 논의에도 영향을 미쳤다. 회원들은 자신의 정보가 유출됐는지조차 뒤늦게 확인하는 혼란을 겪었다. 이 발표는 기업의 정보유출 사고 공지가 축소·지연될 수 있다는 문제를 부각시켰다.

서울중앙지방법원은 회원들이 옥션을 상대로 낸 손해배상 청구소송에서 원고 패소 판결을 내렸다. 재판부는 옥션이 당시 기술 수준에서 요구되는 보안조치를 상당 부분 갖추고 있었다고 판단했다. 해킹이 고도화된 외부 공격에 의한 것이라는 점도 책임 판단에 영향을 미쳤다. 피해 회원들은 판결에 반발하며 항소 의사를 밝혔다. 이 판결은 정보유출 사고에서 기업의 과실을 어디까지 인정할지에 대한 논쟁을 촉발했다.

항소심 재판부 역시 옥션의 손해배상 책임을 인정하지 않으며 원고 패소 판결을 유지했다. 법원은 옥션이 관련 법령과 고시가 정한 보호조치를 이행했다고 판단했다. 반복된 패소로 정보유출 피해자들이 실질적 구제를 받기 어렵다는 지적이 나왔다. 이는 개인정보 유출 소송에서 피해자의 입증 부담이 지나치게 크다는 비판으로 이어졌다. 사건은 결국 대법원의 최종 판단을 기다리게 됐다.

대법원은 회원들이 옥션을 상대로 낸 손해배상 청구소송 상고심에서 원고 패소로 판단한 원심을 확정했다. 재판부는 옥션의 보안기술 수준과 보안조치를 볼 때 개인정보 보호를 위해 필요한 조치를 다한 것으로 보인다고 밝혔다. 이로써 사상 최대 규모의 정보유출 소송은 피해자들이 배상을 받지 못하는 결과로 마무리됐다. 판결 이후 기업 책임 기준이 지나치게 관대하다는 비판이 거세게 일었다. 이 사건은 개인정보보호법 강화와 정보유출 대응 제도 정비의 중요한 배경이 됐다.