동성제약 홈피서 약사 개인 연락처 일주일간 노출

• 7월 21~28일 홈페이지 내 제품 판매처 정보서 휴대전화번호 노출
• 회사 “판매처 정보 갱신 과정서 발생”…인지 직후 조회 차단·당국 신고 설명
• 개인정보위원회 조사도…"본인 정보 노출 인지 못한 약사 있어, 재발 방지 필요"

[데일리팜=김지은 기자] 동성제약 홈페이지에서 최근 약사의 개인 또는 법인 휴대전화번호가 외부에 노출되는 사고가 발생한 것으로 확인됐다.

동성제약은 사고를 인지한 직후 해당 정보가 더 이상 조회되지 않도록 조치하고 관련 당국에 신고했다. 회사 측이 밝힌 개인정보 노출 가능 기간은 일주일가량이다.

10일 지역 약국가에 따르면 최근 동성제약 홈페이지 내 '제품 검색-판매처 찾기' 기능에서 약국 상호와 주소 등 판매처 정보와 함께 약사 개인 또는 법인 휴대전화번호가 노출되는 사고가 발생했다.

동성제약 홈페이지의 판매처 찾기는 소비자가 자사 제품을 취급하는 약국의 명칭과 주소 등 정보를 확인할 수 있도록 마련된 기능이다.

문제는 제품별 판매처 정보를 갱신하는 과정에서 외부에 공개돼서는 안 될 개인 휴대전화번호가 제외되지 않고 함께 표기됐다는 점이다.

관련 상황을 인지한 동성제약 측은 지난달 31일 홈페이지에 게재한 '개인정보 유출통지 및 이에 대한 사과문'을 통해 문제의 개인정보가 조회 가능했던 기간은 7월 21일 오후 3시 59분부터 28일 오후 2시 16분까지라고 밝혔다.

동성제약이 홈페이지에 게재한 사과문 내용 중 일부.

노출된 개인정보 항목은 약국 상호 및 주소와 함께 게시된 개인 또는 법인 휴대전화번호다. 동성제약은 "제품별 판매처 정보 갱신 과정에서 전화번호가 제외되지 않고 함께 표기됐다"고 사고 경위를 설명했다.

회사 측은 또 지난달 28일 오후 2시경 해당 사실을 인지하고 즉시 전화번호가 더 이상 조회되지 않도록 조치했다고 밝혔다. 노출 가능 상태가 시작된 21일부터 회사가 사고를 인지한 28일까지 사실상 일주일간 해당 정보가 홈페이지를 통해 조회될 수 있었던 셈이다.

다만 실제 해당 휴대전화번호가 제3자에 의해 조회됐는지 여부와 구체적인 피해 규모는 확인 절차가 진행 중이라고 밝혔다. 

동성제약은 사과문에서 "전화번호가 실제로 조회됐는지 여부를 개별적으로 확인하는 절차를 진행하고 있다"며 "개인정보 보호를 우선해 확인이 완료되기 전이라도 조회 가능성이 있는 모든 고객에게 개별 통지를 진행하고 있다"고 설명했다.

이어 실제 조회 여부 확인이 완료되는 대로 그 결과를 다시 안내하겠다고 밝혔다. 회사 측에 따르면 전화번호 이외 다른 개인정보는 유출되지 않았으며, 보안 검사 결과 현재까지 악의적인 공격도 탐지되지 않았다.

동성제약은 관련 당국에 사고 사실을 신고하고 정확한 사고 경위와 유출 범위를 확인하는 한편 조사와 자료 제출 요청에도 협조하고 있다는 입장이다.

약사들은 약국 판매처 안내 과정에서 개설약사 등의 개인 연락처가 외부에 노출됐다는 점에 우려를 나타냈다. 특히 개인정보가 하루 이틀이 아닌 여러 날 동안 조회 가능한 상태였던 만큼 해당 사실을 인지하지 못한 약사들도 있을 수 있다는 지적이다.

지역의 한 약사는 "동성제약이 사고 인지 후 조치와 사과문 게재에 나선 점은 확인했지만, 개인 연락처가 상당 기간 외부에서 확인 가능한 상태였다는 점은 가볍게 볼 문제가 아니다"라며 "자신의 연락처가 노출됐다는 사실 자체를 아직 알지 못하는 개설약사도 있을 것으로 생각한다"고 말했다.

개인정보위도 확인…"판매처 데이터 갱신 과정 최종 확인 미흡"

이번 사안을 접수받은 개인정보위원회는 지난 5일 동성제약 관계자를 통한 사실관계 파악과 조치를 진행했다고 밝혔다. 개인정보위가 확인한 결과 동성제약은 홈페이지 판매처 데이터를 갱신하는 과정에서 최종 확인 절차가 미흡해 휴대전화번호를 노출한 것으로 파악됐다.

개인정보위는 "해당 업체는 휴대전화번호 관련 문의를 접수해 노출 사실을 인지했고, 인지 즉시 약국 거래처 전화번호가 표시되지 않도록 조치했다고 답변했다"고 설명했다.

이어 동성제약이 이번 사고의 원인이 된 수동 업로드 방식을 전면 개편해 휴대전화번호가 포함된 경우 업로드가 제한되거나 경고가 표시되도록 검증 절차를 마련했다고 전했다. 

개인정보위에 따르면 동성제약은 개인정보 취급 과정에서 발생할 수 있는 업무상 주의사항 등을 포함해 전 직원을 대상으로 개인정보 보호 교육을 실시할 계획이다.

개인정보위 역시 사실관계 확인 이후 동성제약에 개인정보보호법상 안전조치 등 의무를 안내하고, 향후 유사한 유출 사례가 발생하지 않도록 개인정보 관리를 철저히 할 것을 요구했다. 다만 이번 국민신문고 민원 답변에는 별도의 행정처분이나 제재 조치에 대한 내용은 포함되지 않았다.

동성제약은 홈페이지 사과문을 통해 "이번 사고를 엄중하게 인식하고 있으며 동일한 일이 다시 발생하지 않도록 데이터 관리와 검수 절차를 전면적으로 개선하겠다"며 "추가로 확인되는 내용이 있을 경우 신속하게 안내하겠다"고 밝혔다.