Offcanvas

보안

‘시민 1만여 명 개인정보, 온라인에 그대로 노출’ 프랑스 공공기관 실수 드러나

2023.01.11 Célia Seramour  |  CSO
프랑스 사회보장기관 CAF(caisses d'allocations familiales; 가족 수당 기금)의 한 지방지부가 서비스 제공업체에 전달한 약 1만여 명에 달하는 시민의 개인정보가 유출된 것으로 드러났다. 이 정보는 18개월 동안 제공업체의 웹사이트에 그대로 게재됐다. 
 
ⓒGetty Images Bank

이 실수는 라디오 프랑스(Radio France)의 뉴스 및 탐사국인 프랑스인포(France Info)에 의해 처음 발각됐다. CAF는 큰 책임을 면치 못할 듯 보인다. 조사에 따르면 프랑스 누벨아키텐(Nouvelle-Aquitaine) 지역 지롱드(Gironde) 주에 있는 CAF 지방지부가 사회보장기금 수혜자 10,204명의 개인 정보가 담긴 파일을 공무원의 통계 교육을 담당하는 서비스 제공업체에 보내는 실수를 저질렀다. 

해당 서비스 제공자는 개인 정보를 다루지 않았다고 주장했으며, CAF 지롱드 지부는 전송한 데이터에 시민의 민감한 개인정보가 포함되어있다고 알리지 않았다. 

프랑스인포의 조사에 따르면 전송된 파일에는 수혜자의 성, 이름, 우편번호가 삭제됐지만 거주지(번호와 거리명), 생년월일, 가구 구성과 소득, 수령한 사회보장 혜택의 금액과 종류(장애인 성인 수당 등) 등의 개인 정보가 그대로 노출돼 있었다. 
 

신원 파악 가능한 파일을 온라인에 그대로 

성과 이름이 삭제됐지만 수령자의 신원을 확인하는 데는 지장이 없었다. 조사에 참여한 기자들은 시민 대부분의 신원을 파악할 수 있었다. 

이어 CAF 지롱드 지부의 교육 서비스 업체도 큰 실수를 저질렀다. 교육을 시행한 2021년 3월, 자사의 웹사이트에 해당 파일을 게시한 것이다. 파일이 전혀 암호화되지 않고 업로드돼 18개월 동안 클릭 한 번에 모두가 다운받을 수 있는 상태로 노출됐다. 

해당 사실을 서비스 제공업체에 문의하자 업체는 CAF 파일에 실제 시민의 개인정보가 포함되어있는지 알지 못했다고 해명했다. 그러고 나서 지난주까지 해당 파일을 삭제하는 것을 잊어버렸다고 덧붙였다. 

이 뉴스나 나오자 프랑스의 디지털 권리 옹호 단체인 ‘La Quadrature du Net’가 반응했다. 단체는 이미 CAF가 수혜자를 책정하는 알고리즘 방식과 관련해 해당 기관을 눈여겨보고 있었다. 

단체는 웹사이트에 올린 성명에서 “이 데이터 유출 사건은 CAF가 시민의 개인 정보 보호에 대해 신경쓰지 않는다는 점을 보여준다. 그게 아니라면 관리자들은 사기업에게 시민의 정보를 넘겨주는 것이 정상이라고 생각할 만큼 책임감을 느끼지 못하는 것 같다. 이런 정보를 이용해 수혜자의 점수를 매기는 알고리즘을 만드는 행위도 거리낌 없이 할 것 같다”라고 말했다. 

이어 단체는 “CAF는 개인 데이터를 익명화 처리해야 한다는 기본 원칙을 무시했다. 첨부된 개인 정보를 식별할 수 없도록 익명화하는 것이 원칙이다. 생년월일이나 주소 같은 정보를 삭제하거나 최소한 수정했어야 했다”라고 지적했다. 

사실이 밝혀진 이상 프랑스 데이터보호기관 CNIL이 이 사건의 조사에 착수해 GDPR 위반 제재를 가할 가능성이 크다. 

지방지부의 CAF를 감독하는 프랑스 국가중앙 CNAF(caisses nationale d'allocations familiales) 프랑스인포에게 “서비스 제공업체가 이렇게 민감한 데이터를 온라인에 게재하는 것은 있을 수 없는 일”이라며 “이런 문서는 엄격한 기준에 의해 내부적으로 이용됐어야 했다”라고 말했다. 지롱드 지부는 CNAF 내부에서도 조사받을 예정이다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.