메타, 비밀번호 보안 위반으로 $101.5 백만 벌금 부과

유럽 연합의 주요 개인정보 보호 규제기관이 메타에게 부족한 사용자 비밀번호 보안 조치에 대해 91백만 유로($101.5백만)의 벌금을 부과했습니다.

오늘, 아일랜드 데이터 보호 위원회(DPC)는 메타 플랫폼 아일랜드 리미티드(MPIL)와 관련된 조사에서의 최종 판결을 발표했습니다.

공지사항에는 MPIL이 2019년 4월부터 조사를 시작했으며, 실수로 일부 소셜 미디어 사용자의 비밀번호를 내부 시스템에서 암호화나 암호 보호 없이 ‘평문’으로 저장했다고 보고했다고 나와있습니다.

이런 위반 사항은 사용자 데이터 보안과 일반 데이터 보호 규정(GDPR) 준수에 대한 중요한 우려를 불러일으켰습니다.

부처장관 그레이엄 도일은 암호를 평문으로 저장하는 것의 심각성을 강조하였고, 그는 발표에서 다음과 같이 말했습니다.

“사용자의 비밀번호를 평문으로 저장하지 않는 것이 널리 받아들여지고 있으며, 이러한 데이터에 접근하는 사람들로부터 발생하는 남용의 위험을 고려하면 이는 당연한 사실입니다.”

“이 경우에 고려되어야 할 비밀번호는 사용자의 소셜 미디어 계정에 접근할 수 있을 만큼 매우 민감한 정보임을 명심해야 합니다,”라고 그는 덧붙였습니다.

2024년 6월, DPC는 이 사건에 대한 초안 결정을 유럽 연합 및 유럽 경제 지역의 다른 감독 기관들에게 제출했습니다.

어떠한 이의도 제기되지 않아 DPC는 결정을 확정 짓는 데 나아갔습니다. 9월 26일, DPC는 MPIL에게 그들의 부주의에 대해 €91 백만 (약 $101.5 백만)의 무거운 벌금과 함께 주의를 받게 될 것이라고 알렸습니다.

DPC는 그들의 조사 결과에서 GDPR의 여러 위반 사항을 확인했습니다. 구체적으로, MPIL은 사용자 비밀번호의 암호화되지 않은 저장에 대한 개인 데이터 유출을 DPC에 알리지 않은 것으로 지적되었습니다.

더욱이, 위원회는 MPIL이 위반 사항을 문서화하지 않았다는 점을 지적했습니다. 또한 DPC는 MPIL이 사용자의 비밀번호를 무단 접근으로부터 보호하기 위한 적절한 기술적 혹은 조직적 조치를 구현하지 않았다고 밝혔습니다.

마지막으로, DPC는 MPIL이 비밀번호 처리와 관련된 위험에 적절한 보안 조치를 구현하지 못했다고 비난했습니다.

메타의 대변인이 블룸버그에 이메일로 전한 바에 따르면, 이 문제는 2019년 보안 검토 과정에서 발견되었다고 합니다.

해당 대변인은 “우리는 이 오류를 즉각 수정했고, 이 비밀번호들이 부당하게 이용되거나 잘못 접근당한 증거는 없다.”라고 전했습니다.

“우리는 이 문제를 적극적으로 주요 규제 기관인 아일랜드 데이터 보호위원회에 보고하였으며, 이 조사 과정에서 그들과 건설적으로 협력해왔다”라고 대변인이 말했습니다.

이 최근의 벌금은 Meta의 증가하는 GDPR 벌금 목록에 추가되는 것으로, 이미 TechCrunch에 의해 보고된 바와 같이, 기술 거물들에게 가한 가장 큰 벌금들 중 몇 가지를 포함하고 있습니다.

이것은 회사의 지속적인 개인정보 이행 문제를 강조하고, 사용자의 데이터를 효과적으로 보호할 수 있는 능력에 대해 의문을 제기합니다.