채용플랫폼 인크루트 개인정보 반복 유출 사건

채용정보 플랫폼 인크루트는 2020년 9월 크리덴셜 스터핑 공격을 받아 회원 3만5076건의 개인정보가 유출되는 사고를 겪었다. 크리덴셜 스터핑은 다른 사이트에서 유출된 아이디·비밀번호 조합을 대입해 로그인을 시도하는 공격 기법으로, 회원들의 비밀번호 관리 습관과 맞물려 피해가 커질 수 있는 유형이다. 당시 사고로 이름, 연락처 등 구직자들의 민감한 개인정보가 외부에 노출된 것으로 파악됐다. 이 사건은 이후 인크루트의 보안 관리 체계에 대한 첫 제재로 이어지는 계기가 됐다. 채용 플랫폼이라는 서비스 특성상 유출된 정보가 스팸이나 피싱에 악용될 위험이 크다는 우려가 제기됐다.

개인정보보호위원회는 2023년 7월 인크루트에 2020년 발생한 개인정보 유출 사고와 관련해 과징금 7060만원과 과태료 360만원을 부과했다. 조사 결과 당시 인크루트가 안전조치 의무를 충분히 이행하지 않은 정황이 확인된 데 따른 제재였다. 이는 채용 플랫폼 업계에 개인정보 보호 의무를 재차 환기시키는 사례로 받아들여졌다. 그러나 제재 이후에도 유사한 유형의 보안 사고가 재발할 수 있다는 우려가 업계 안팎에서 제기됐다. 결국 이 우려는 2025년 다시 현실화됐다.

인크루트는 2025년 3월 8일 외부 공격에 의한 개인정보 유출 의심 정황을 발견했다고 밝히고, 같은 날 오후 회원들에게 유출 의심에 따른 안내 및 사과 이메일을 발송했다. 회사 측은 정확한 유출 일시와 경위는 관계기관과 협조해 파악 중이라고 설명했다. 이번에도 유출이 의심되는 항목은 성명, 생년월일, 성별, 휴대전화번호 등으로 2020년 사고와 유사한 양상을 보였다. 회사는 IP 차단과 시스템 취약점 점검·보완, 모니터링 강화 조치를 완료했다고 밝혔다. 그러나 비밀번호 변경이나 이중 인증 안내 등 이용자 대상 후속 조치가 미흡하다는 전문가 지적이 뒤따랐다.

인크루트의 개인정보 유출 의심 사실이 언론을 통해 보도되면서 사건이 본격적으로 공론화됐다. 보도에서는 유출 항목이 성명, 생년월일, 성별, 휴대전화번호 등에 한정되지 않고 회원별로 차이가 있을 수 있다는 회사 측 설명이 함께 전해졌다. 채용플랫폼이라는 서비스 특성상 실명과 연락처가 결합된 정보 유출은 구직자를 노린 2차 피해로 이어질 수 있다는 우려가 제기됐다. 일부 매체는 인크루트가 2020년에 이어 재차 유사한 유형의 사고를 낸 점을 짚으며 반복되는 보안 부실 문제를 지적했다. 이용자들 사이에서는 회원 탈퇴 및 정보 삭제 요구가 잇따랐다.

개인정보보호위원회는 인크루트로부터 개인정보 유출 신고를 접수하고 사실관계를 확인한 뒤 본격적인 조사에 착수할 계획이라고 밝혔다. 개인정보위 관계자는 신고가 접수됐으며 유출 규모와 경위, 법 준수 여부를 중점적으로 살펴볼 예정이라고 설명했다. 이는 2023년 과징금 처분 이후에도 유사한 사고가 재발한 데 따른 것으로, 인크루트의 반복적인 보안 관리 실태가 다시 도마에 오르는 계기가 됐다. 업계에서는 채용 플랫폼 특성상 대규모 개인정보를 다루는 만큼 한층 강화된 보안 투자와 감독이 필요하다는 지적이 나왔다. 이번 조사 결과에 따라 추가 제재 여부가 결정될 것으로 전망됐다.