트렌드뉴스

숙박예약 서비스 ‘야놀자’ 회원인 ㄱ씨는 얼마 전 스마트폰 푸시 알림을 보고 깜짝 놀랐다. ㄱ씨의 야놀자 계정에서 모르는 사람인 ㄴ씨의 이름으로 서울 강남구 한 호텔 객실이 예약됐기 때문이다. 애플리케이션에 접속해 보니 전화번호 등 ㄱ씨의 야놀자 회원정보도 ㄴ씨 것으로 바뀌어 있었다. ㄱ씨는 고객센터에 “해킹 여부를 파악해달라”고 신고했지만 “확인해줄 것이 없다”는 답만 돌아왔다고 한다.

‘남남’인 두 사람이 같은 계정을 쓰게 된 배경엔 야놀자의 허술한 회원가입 절차가 있었다. 야놀자에서는 계정 아이디(ID)로 신규 가입자의 이메일을 입력하게 하는데, 이메일이 본인의 것인지 확인하는 단계가 없어 ㄴ씨가 ㄱ씨의 이메일을 아이디로 써왔던 것이다. 숙박 내역 등 민감한 개인정보를 취급하는 애플리케이션이 부실한 회원가입 절차를 운용하고 있었던 셈이다.

4일 ㄱ씨와 야놀자의 말 등을 종합해보면, ㄱ씨의 야놀자 앱에 ㄴ씨의 정보가 노출된 건 ‘오타’ 때문이었다. 올해 초 야놀자에 회원 가입을 한 ㄴ씨는 계정 아이디로 쓰일 이메일을 입력하면서 실수로 자신의 것이 아닌 이메일을 적었다. ㄴ씨는 자신이 오타를 입력했다는 사실을 모른 채 계정을 생성했고, 이후 그의 휴대전화 기기에서 이 계정이 ‘로그인 상태’로 유지돼왔다

그런데 이 주소는 ㄱ씨 소유의 ‘주인 있는’ 이메일 주소였다. ㄱ씨는 ㄴ씨가 회원가입을 하고 2개월 뒤 야놀자에 자신의 이메일 주소로 로그인을 시도했으나 비밀번호가 맞지 않아 접속이 되지 않았다. ㄱ씨는 앞서 10여년 전 ㄴ씨보다 먼저 야놀자에 회원으로 가입했지만, ‘1년 이상 로그인하지 않은 이용자 계정은 삭제한다’는 야놀자의 개인정보 처리 방침에 따라 계정이 삭제돼 있었다. 이 사실을 알지 못했던 ㄱ씨는 비밀번호를 변경해 로그인을 했다.

야놀자 관계자는 “비밀번호를 바꿀 땐 회원 이메일로 전송된 본인인증 요청을 승인해야 하는데, 이메일 원소유자인 ㄱ씨는 인증이 가능했다”며 “ㄱ씨와 ㄴ씨가 각각 다른 기기로 로그인을 하면서, 한명이 호텔을 예약하자 다른 한명에게도 푸시 알림이 전송됐다”고 말했다.

그러나 ㄱ씨는 고객센터에 신고를 한지 1주일이 다 되도록 이런 내막에 대한 설명을 듣지 못했다고 한다. ㄱ씨 말에 따르면, 야놀자는 신고 6일이 지난 지난달 30일에야 ㄱ씨에게 연락해 “알아봐줄 수 있는 것이 없다. (계좌 도용 여부 등을 확인하려면) 경찰에 신고하라”고만 알려왔다고 한다. ㄱ씨는 <한겨레>와의 통화에서 “내 것이라 생각했던 계정에 어떤 영문으로 제3자 결제 내역이 뜨는지 납득할 만한 설명을 듣지 못했다”며 “내 개인정보도 누군가에게 이런 식으로 노출돼 왔거나, 계정이 해킹당한 것일까봐 계속 걱정스러웠다”고 말했다.

야놀자는 개인정보보호위원회 등 관계 당국에도 개인정보 유출 사실을 알리지 않았다. 개인정보 보호법 등은 고객 신고 등으로 개인정보 유출을 파악한 사업자가 24시간 이내에 이를 당사자에 통지하고 개보위에 신고하도록 하고 있다. 이번 사고가 ‘개인정보 유출’에 해당할 경우 야놀자는 이런 통지 의무를 지키지 않은 것이 된다. 개보위 관계자는 “관계법상 이름 외에도 전화번호·주소 등 특정인을 식별할 만한 정보가 노출되면 개인정보 유출이다. 앱의 허점이나 오류로 발생한 개인정보 유출일 경우에도 개보위 신고가 필요하다”고 전했다.

반면 야놀자는 ‘회사 잘못으로 정보가 노출된 게 아니었다’는 입장이다. ㄴ씨가 가입하며 쓴 이메일이 ㄴ씨 것이 맞는지 확인할 책임은 야놀자에 없었다는 주장이다. 야놀자 관계자는 <한겨레>에 “ㄴ씨가 스스로 타인의 이메일 정보에 본인 정보를 연결해 사용한 것인 만큼 (회사 과실의) 개인정보 유출은 아니었다. 개보위에 신고할 의무도 없었다”고 밝혔다.

http://naver.me/xjeGKhft