락앤락 130만 회원 개인정보 유출·과징금 사건

2024년 4월 외부 공격자는 락앤락의 메일서버에 존재하던 보안 취약점을 이용해 내부 시스템에 처음으로 침입했다. 개인정보보호위원회 조사 결과 이 취약점은 2022년에 이미 공개된 것이었지만 락앤락이 관련 업데이트를 제때 적용하지 않은 것으로 드러났다. 서버 관리자 계정의 비밀번호가 여러 시스템에서 동일하게 사용되고 있었던 점도 침입을 쉽게 만든 요인으로 지적됐다. 이 최초 침입은 이후 벌어질 대규모 정보 유출의 발판이 됐다는 점에서 초기 보안 관리 소홀이 사고의 근본 원인으로 지목됐다. 락앤락은 이 시점까지 침입 사실을 인지하지 못하고 있었다.

최초 침입 한 달 뒤인 2024년 5월 공격자는 락앤락의 회원 데이터베이스(DB)에 접근해 약 130만 명에 달하는 회원의 이름, 휴대전화번호, 주소 등 개인정보를 대량으로 유출했다. 락앤락은 국내 대표적인 밀폐용기·주방용품 업체로 온라인몰과 멤버십 서비스를 통해 방대한 고객 데이터베이스를 보유하고 있었다. 이번 유출로 오프라인 유통 중심 기업으로 여겨지던 락앤락의 온라인 서비스 보안 체계에 심각한 허점이 있었다는 사실이 드러났다. 유출 규모는 국내 개인정보 유출 사고 가운데서도 상당히 큰 축에 속하는 수준이었다. 그러나 락앤락은 이 시점에도 유출 사실을 외부에 공개하지 않았다.

2024년 11월 같은 공격자가 락앤락 시스템에 재차 침입해 이번에는 파일서버에 접근, 임직원 관련 자료를 추가로 유출했다. 유출된 자료에는 임직원 1111건에 달하는 주민등록증, 운전면허증, 통장 사본 등 민감한 개인 식별 정보가 포함돼 있었다. 첫 침입 이후 반년 넘게 시스템 취약점이 방치되면서 동일한 경로로 재침입이 가능했다는 점은 락앤락의 사후 보안 조치가 제대로 이뤄지지 않았음을 보여준다. 개인정보위 조사에서는 파기됐어야 할 개인정보 4만9466건이 삭제되지 않고 남아 있었던 사실도 함께 확인됐다. 이는 개인정보의 생명주기 관리 자체가 부실했음을 드러내는 대목으로 지적됐다.

개인정보보호위원회는 두 차례에 걸친 유출 사고와 관련해 락앤락에 대한 정식 조사에 착수했다. 조사 결과 2022년 공개된 보안 취약점을 장기간 업데이트하지 않은 점, 서버 관리자 계정 비밀번호를 여러 시스템에서 동일하게 사용한 점, 주민등록번호 등 고유식별정보를 암호화하지 않고 보관한 점 등 다수의 관리 부실이 확인됐다. 또한 이미 파기됐어야 할 개인정보 4만9466건이 삭제되지 않고 방치돼 있었던 사실도 위반 사항으로 적발됐다. 개인정보위는 이 같은 총체적 부실이 대규모 유출을 초래한 직접적 원인이라고 판단했다. 조사 결과를 바탕으로 위원회는 제재 수위를 논의하는 전체회의 절차에 착수했다.

개인정보보호위원회는 2026년 7월 8일 제13회 전체회의를 열고 락앤락에 대해 과징금 5억300만원과 과태료 540만원을 부과하기로 최종 의결했다. 이튿날인 7월 9일 위원회는 이 같은 처분 내용을 공식 발표하며 취약점 미조치, 동일 비밀번호 사용, 고유식별정보 미암호화, 개인정보 미파기 등을 제재 사유로 명시했다. 연합뉴스와 파이낸셜뉴스 등은 이를 두고 "물은 안 새는데 개인정보가 샜다"는 표현으로 밀폐용기 전문기업의 아이러니를 지적하기도 했다. 락앤락은 처분 결과를 수용하고 재발 방지를 위한 보안 체계 개선에 나서겠다고 밝혔다. 이번 사건은 전통 제조업 기반 기업들도 온라인 서비스 확장에 따라 개인정보 보호 역량을 강화해야 한다는 경각심을 업계에 남겼다.