CJ그룹 임직원들의 개인정보가 텔레그램 채널을 통해 장기간 유출된 사실이 드러나면서 파장이 커지고 있다.
특히 유출 정보에 사내 인트라넷에서만 확인 가능한 내용까지 포함된 것으로 알려지면서, 단순 외부 해킹이 아닌 내부자 개입 가능성에 무게가 실리고 있다.
이미지 출처=CJ 그룹 홈페이지 갈무리
18일 업계에 따르면 텔레그램 내 한 공개 채널에는 CJ그룹 여성 임직원 330여명의 휴대전화 번호와 직급, 사내 전화번호, 소속 정보, 사진 등이 게시된 것으로 확인됐다. 일부 정보는 전·현직 직원 실명과 일치하는 것으로 파악됐다.
문제가 된 채널은 지난 2023년부터 운영된 것으로 알려졌으며, 현재 약 2800명이 참여 중인 것으로 전해졌다. 일부 보도에 따르면 공개 채널 외에도 승인 기반의 비공개 채널이 함께 운영된 정황도 있어 추가 유출 가능성까지 제기된다.
특히 유출 게시물 중에는 회사 내부 인트라넷 접근 URL과 조직 정보 등이 포함된 것으로 알려졌다. 이에 따라 회사 측은 외부 해킹보다는 내부 시스템 접근 권한을 가진 인물에 의한 정보 유출 가능성을 집중적으로 들여다보고 있다.
CJ그룹 관계자는 “외부 해킹 정황은 현재까지 확인되지 않았다”며 “내부자의 임직원 프로필 조회를 통한 정보 유출 가능성을 염두에 두고 경위를 조사 중”이라고 밝혔다.
이어 “관계기관 신고 및 수사 의뢰를 준비하고 있으며, 추가 피해 방지를 위한 조치도 진행할 예정”이라고 설명했다.
이번 사건은 단순 개인정보 노출을 넘어 기업 내부 보안 통제 체계 자체에 대한 의문으로도 번지고 있다.
약 3년 가까이 특정 채널에서 임직원 정보가 공유됐는데도 회사가 이를 인지하지 못했다는 점에서, 이상 접근 탐지 시스템이나 접근 권한 관리가 제대로 작동했는지에 대한 지적도 나온다.
현행 개인정보보호법상 1000명 이상 개인정보 유출 시 기업은 인지 후 72시간 이내 개인정보보호위원회 또는 KISA(Korea Internet & Security Agency)에 신고해야 한다.
또 개인정보처리시스템에 대한 접근 권한 통제와 이상 행위 탐지 의무를 위반할 경우 과징금 부과 대상이 될 수 있다.
최근 대기업 내부 시스템을 통한 임직원 정보 유출 사례가 반복되고 있다는 점도 우려를 키우고 있다.
앞서 일부 유통·IT 계열사에서도 협력업체 및 임직원 개인정보 유출 사고가 발생한 바 있어, 기업 내부망과 인트라넷 기반 개인정보 관리 체계 전반에 대한 재점검 필요성이 커지고 있다는 지적이다.
댓글
0