홈페이지를 해킹당해 1천만여건의 고객 개인정보 유출 사고가 발생한 KT에 7000만원의 과징금을 부과한 것은 위법하다는 대법원 판결이 나왔다. 대법원 특별3부(주심 안철상 대법관)는 KT가 개인정보보호위원회(경정 전 피고 방송통신위원회)를 상대로 낸 과징금 부과처분 취소소송(2018두56404)에서 원고승소 판결한 원심을 최근 확정했다. KT는 2013년 8월부터 2014년 2월까지 마이올레 홈페이지를 해킹당해 고객의 이름과 주민등록번호, 주소 등 개인정보 1170만여건이 유출됐다. 또다른 해커의 침입으로 8만3000여건의 개인정보도 추가로 유출됐다. 방통위는 KT가 △일단 로그인을 하면 타인의 고객서비스계약번호(9자리)를 입력하더라도 인증단계 없이 타인의 정보(이름 등)까지 조회 가능했고 △특정 IP에서 일 최대 수십만 건의 개인정보를 조회했는데도 비정상적인 접근을 탐지·차단하지 못했다는 이유 등으로 2014년 6월 과징금 7000만원을 부과했다. KT는 "개인정보 유출 방지를 위한 조치들을 취했었다"며 소송을 냈다. 방통위는 "해커가 공격 때 사용한 '파라미터 변조'를 탐지하지 못했고 동일 IP에서 개인정보가 포함된 요금명세서를 대량 조회하는 것은 이상행위인데 이를 탐지하지 못했다"고 맞섰다. 1심은 "KT는 침입탐지방지 시스템 등을 설치·운영하고 상시로 모의 해킹을 수행하는 등 침입탐지 시스템을 적절히 운영했는데, 파라미터 변조는 취약점이 널리 알려진 해킹 수법이지만 수많은 웹 서버마다 각기 다른 파라미터가 존재하고 파라미터에 할당할 수 있는 값도 달라질 수 있어 항상 일정한 형태로 고정되는 것이 아니어서 사전에 탐지해 차단하기가 쉽지 않다"고 밝혔다. 이어 "해커가 마이올레 홈페이지에 하루 최대 34만 번 접속했는데, 마이올레 홈페이지 하루 접속 건수가 3300만여건에 이르는 점에 비추면 보면, 해커의 접속은 1% 미만이어서 이를 '이상행위'를 탐지하기 어려웠을 것"이라며 "해킹이 발생했던 당시에는 방통위의 개인정보 보호 조치 기준도 구체화되지 않았다"고 설명했다. 다만 "퇴직자 ID의 개인정보처리시스템에 대한 접근 권한을 말소하지 않은 것은 KT의 잘못"이라고 덧붙였다. 그러면서 "KT가 방통위 고시인 개인정보의 기술적·관리적 보호조치 기준 제4조 2항을 위반한 것은 맞지만 고시 제4조 5항과 9항을 위반했다고 볼 수는 없기 때문에 방통위가 제4조 5항과 9항을 위반했음을 전제로 한 이 사건 처분은 재량권의 일탈·남용으로 위법하다"며 "처분이 방통위의 재량행위에 해당하는 이상 법원은 재량권 일탈·남용 유무만 판단할 수 있을 뿐 재량권의 범위 내에서 어느 정도가 적정한지 판단할 수 없으므로 처분 전부를 취소할 수밖에 없다"고 판시했다. 개인정보의 기술적·관리적 보호조치 기준 제4조 2항은 '정보통신서비스 제공자등은 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근권한을 변경 또는 말소한다'고 규정하고 있다. 같은 조 5항은 정보통신서비스 제공자등은 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 침입탐지방지 시스템 등을 의무적으로 설치·운영하도록 했다. 9항은 정보통신서비스 제공자등은 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통해 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 개인정보취급자의 컴퓨터 등에 조치를 취해야 한다는 내용이다. 2심도 방통위 측 항소를 기각하고 KT의 손을 들어줬다. 대법원도 "KT가 자신이 취급 중인 개인정보가 해킹 등 침해사고에 의해 유출되지 않도록 개인정보처리시스템과 개인정보취급자의 컴퓨터에 사회통념상 합리적으로 기대 가능한 정도의 기술적 보호조치를 다하지 않았다고 단정하기 어렵다"며 원심을 확정했다.

인터파크가 해커에 의한 개인정보 유출 사고와 관련해 피해를 입은 회원들에게 1인당 10만원씩 배상해야 한다는 판결이 나왔다. 서울중앙지법 민사30부(재판장 한성수 부장판사)는 A씨 등 2400여명이 인터파크를 상대로 낸 손해배상청구소송(2016가합563586)에서 최근 "인터파크는 회원들에게 1인당 10만원씩 지급하라"며 원고일부승소 판결했다. 인터넷 쇼핑몰인 인터파크에선 지난 2016년 5월 인적사항을 알 수 없는 해커에 의해 내부 전산망이 해킹 당하는 사고가 발생했다. 이 사고로 인터파크가 관리하고 있던 회원들의 비밀번호와 생년월일, 휴대전화 번호 등 개인정보가 유출됐다. 방송통신위원회는 해커의 공격을 지능형 지속가능 위협(APT)으로 보고, 민관합동조사단을 구성해 인터파크의 개인정보처리시스템 등에 남아있는 접속기록 등을 토대로 개인정보 처리 및 운영 실태를 조사했다. 지능형 지속가능 위협은 해커가 다양한 보안 위협을 만들어 특정 기업이나 조직의 네트워크에 지속적으로 가하는 공격을 말한다. 그 결과 해커는 인터파크 직원의 네이버 계정을 불법적으로 도용해 접속한 뒤 악성코드를 심은 이메일을 보내 컴퓨터를 감염시키고, 회원들의 개인정보가 저장돼 있던 DB서버에 접속해 이를 모두 빼간 것으로 조사됐다. 이에 인터파크 회원 A씨 등은 "1인당 30만원을 배상하라"며 소송을 냈다. 재판부는 "정보통신서비스 제공자인 인터파크가 회원들의 개인정보를 보호하기 위해 옛 정보통신망법 등 관련 법령상 어떠한 조치를 해야 하는지 확인하고 이를 이행할 의무가 있음에도 이를 게을리 해 최대접속시간 제한 조치 및 비밀번호의 암호화를 위한 조치를 취하지 않았다"면서 "개인정보 유출을 안 때로부터 24시간 이내에 회원들에게 이를 알리지 않았으므로 인터파크에게 옛 정보통신망법 제28조 등을 위반한 과실이 인정된다"고 밝혔다. 옛 정보통신망법 제28조는 '정보통신서비스 제공자 등이 개인정보를 처리할 때에는 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위해 대통령령으로 정하는 기준에 따라 기술적·관리적 조치를 해야 한다'고 규정하고 있다. 재판부는 이어 "유출된 회원들의 개인정보는 모두 개인을 식별할 수 있을 뿐만 아니라 사생활과 밀접한 관련이 있어 이를 도용한 2차 피해 발생과 확대의 가능성을 배제하기 어렵다"면서 "인터파크는 같은 해 7월 회원들의 개인정보가 유출됐음을 인지했음에도 그로부터 14일 뒤에야 비로소 이를 통지해 회원들이 개인정보 유출에 신속히 대응할 수 있는 기회를 상실하게 만들었다"고 설명했다. 다만 "회원들의 개인정보가 불특정 다수에게 공개됐거나 명의가 도용되는 등 추가적 법익침해가 발생했다고 볼 자료는 제출되지 않았다"면서 "기업이 소비자에게 유익한 서비스를 제공함에 있어 부득이 고객의 일정한 개인정보를 수집·보관하는 것이 필요한 현실적인 제약을 고려할 때 손해배상액을 1인당 각 10만원으로 정함이 상당하다"고 판시했다.

2012년 KT 고객 개인정보 유출 사고에 대해 KT는 손해배상 책임이 인정되지 않는다고 대법원이 최종 판단했다. 대법원 민사1부(주심 권순일 대법관)는 28일 강모씨 등 정보유출 피해자 342명이 KT를 상대로 낸 손해배상 청구소송 상고심에서 원고패소 판결한 원심을 확정했다(2017다207994). 2012년 7월 발생한 'KT 개인정보 유출 사고'는 해커에 의해 KT 가입자 870만명의 개인정보가 무분별하게 유출된 사건이다. 2명의 해커가 고객정보를 몰래 조회할 수 있는 프로그램을 만들어 이름과 주민등록번호를 비롯해 휴대전화 가입일, 고객번호, 사용 요금제, 기기 변경일 등의 개인정보를 빼낸 것으로 드러났다. 이에 피해자들은 KT의 관리·감독 부실로 개인정보가 유출됐다며 1인당 50만원을 배상하라고 소송을 냈다. 앞서 1심은 "KT는 사내 통신망의 ID와 비밀번호, 사용자 계정에 대한 관리를 소홀히 했고, 망 내 데이터베이스에 주민등록번호와 같은 중요 정보도 암호화하지 않고 저장했다"며 "피해자에 10만원씩 배상하라"고 밝혔다. KT의 책임을 일부 인정한 것이다. 그러나 항소심은 "KT가 개인정보 유출방지에 관한 기술적·관리적 보호조치를 이행하지 않은 과실로 인해 사고가 발생했다고 보기 어렵다"며 KT에 책임이 없다고 판단했다. 대법원은 2심 판단이 옳다고 봤다. 한편, 같은 재판부는 이날 또 다른 피해자 100명이 KT를 상대로 같은 취지로 낸 손해배상 청구소송 상고심에서는 원고일부승소한 원심을 깨고 패소 취지로 사건을 서울중앙지법에 돌려보냈다(2017다256910). KT에 정보유출 책임을 물을 수 없다는 취지다. 대법원 관계자는 "정보통신서비스 제공자가 개인정보보호를 위한 법률상 또는 계약상 의무를 위반하였는지를 판단할 때에는 해킹으로 인한 침해사고의 경우 당시 일반적으로 알려져 있는 정보보안 기술 수준과 서비스업체가 취한 보안조치, 해킹기술, 보안기술 발전 등을 종합적으로 고려해야 한다는 것을 다시 한번 확인한 판결"이라고 설명했다.

가상화폐 거래소 빗썸 이용자가 거래소가 개인정보 보호를 위한 의무를 다하지 않아 4억원 상당의 가상화폐를 해커에게 도난당했다며 거래소를 상대로 소송을 냈지만 패소했다. 서울중앙지법 민사30부(재판장 이상현 부장판사)는 A씨가 빗썸 운영사인 BTC코리아닷컴을 상대로 "4억7800여만원을 달라"며 낸 손해배상 청구소송(2017가합585293)에서 최근 원고패소 판결했다. 지난해 11월 해커로 추정되는 사람이 4억7800여만원 상당의 원화 포인트를 갖고 있던 A씨 빗썸 계정에 접속했다. 해커는 A씨 포인트 대부분으로 가상화폐 이더리움을 사들인 다음 4차례에 걸쳐 빗썸의 승인을 받아 이더리움 대부분을 외부로 빼돌렸다. 결국 A씨 계정에 남은 121원의 원화 포인트와 당시 시세로 약 40만원어치에 불과한 0.7794185이더리움만 남았다. A씨는 "빗썸 측에 사실상 금융기관에 요구되는 정도와 같은 고도의 보안 조치가 요구되는 만큼 전자금융거래법을 유추 적용할 수 있다"며 소송을 냈고, 빗썸 측은 자신들은 전자금융거래법상의 금융회사 등에 해당하지 않는다고 맞섰다. 전자금융거래법이 적용되면 빗썸은 전자금융거래가 안전하게 처리될 수 있도록 선관주의의무(選管主意義務, 일반인·평균인에게 요구되는 정도의 주의의무)를 다해야 하고, 정보통신망에 침입해 거짓이나 부정한 방법으로 획득한 접근매체의 이용으로 발생한 사고로 인해 이용자에게 손해가 발생할 경우 그 손해를 배상할 책임을 진다. 재판부는 빗썸 측 손을 들어줬다. 재판부는 "금융위원회의 허가 없이 가상화폐거래를 중개하는 빗썸에 전자금융업자에 준해 전자금융거래법을 유추 적용하는 것은 타당하지 않다"며 "가상화폐는 일반적으로 재화 등을 사는 데 이용될 수 없고, 가치의 변동 폭도 커 현금 또는 예금으로 교환이 보장될 수 없으며 주로 투기적 수단으로 이용되고 있어 전자금융거래법에서 정한 전자화폐에 해당한다고 볼 수 없다"고 판단했다. A씨는 지난해 스피어피싱 등을 통해 빗썸 웹사이트 계정정보 등 3만6000여건이 해커에게 유출된 사고를 거론하면서 빗썸 측이 선관주의의무를 다하지 않았고 주장했으나, 재판부는 "당시 해커에게 유출된 개인정보에 A씨의 개인정보가 포함됐다고 인정할 증거가 존재하지 않는다"며 A씨 주장을 받아들이지 않았다. 재판부는 "성명불상자가 원고가 주로 사용하는 아이피 주소가 아닌 주소로 접속한 것으로 보이기는 하지만, 스마트폰 등은 접속 위치나 시간에 따라 아이피 주소가 변경될 수 있는 것이 현실이므로 빗썸이 이런 접속을 막지 않았다고 해 선관주의의무를 다하지 못한 것으로 보기는 어렵다"며 "10회에 걸쳐 빗썸이 출금인증코드 문자메시지를 A씨 휴대전화로 보내 이더리움 출금 절차 진행을 알렸음에도 이를 A씨가 수신하지 못한 점에 비춰 빗썸의 관리와 무관하게 A씨의 휴대전화가 해킹 또는 복제 당했을 가능성도 배제하기 어렵다"고 설명했다.

계정이 해킹돼 보유하고 있던 가상화폐(암호화폐)를 도난당했다고 해도, 가상화폐 거래소에 배상 책임을 물을 수는 없다는 판결이 나왔다. 서울중앙지법 민사35단독 김수정 부장판사는 A씨가 가상화폐 거래소 '빗썸'을 운영하는 BTC코리아닷컴을 상대로 "5200여만원을 배상하라"며 낸 손해배상청구소송(2017가단5016023)에서 최근 원고패소 판결했다. 2014년부터 빗썸에서 비트코인을 거래해 온 A씨는 2016년 2월 정체를 알 수 없는 해커에 의해 아이디(ID)와 비밀번호를 해킹당해 약 30분 사이에 100BTC(비트코인의 단위)를 도난 당했다. 이는 당시 시가 약 5200만원에 해당하는 액수였다. 검찰은 이 해킹 사건을 수사했으나 단서를 확보하지 못해 기소중지 결정을 했다. 재판부는 "BTC코리아닷컴이 비트코인의 거래를 중개하는 사업자에게 요구되는 계약상 주의의무를 위반해 개인정보 관리를 소홀히 했다고 인정하기 어렵다"며 "BTC코리아닷컴이 이무렵 비트코인 인출을 위한 인증체계를 4단계에서 1단계로 간소화한 사실을 인정하면서도, 이로 인해 해커가 A씨의 ID와 비밀번호, OTP(일회용 비밀번호) 등을 입수할 수 있었다고 인정할 증거가 없다"고 밝혔다. 재판부는 또 BTC코리아닷컴이 휴대전화 문자메시지로 발송하는 인증 숫자는 법적인 '비밀번호'라고 볼 수 없으므로, 이를 암호화하지 않아 기술적 보호조치를 하지 않았다는 A씨의 주장도 받아들이지 않았다. 그러면서 BTC코리아닷컴이 고객 개인정보 파일을 암호화하지 않고 개인용 컴퓨터에 저장했다가 방송통신위에서 적발된 적이 있긴 하지만, A씨의 정보를 그렇게 보관하지는 않았으므로 마찬가지로 책임이 없다고 판단했다.

2011년 7월 발생한 네이트와 싸이월드 서버 해킹 사건의 피해자들이 SK커뮤니케이션즈를 상대로 손해배상소송을 냈지만 결국 패소했다. 대법원 민사1부(주심 이기택 대법관)는 강모씨 등 개인정보 유출 피해자 31명이 SK커뮤니케이션즈를 상대로 낸 손해배상소송(2015다216055)에서 원고패소 판결한 원심을 최근 확정했다. 2011년 7월 26∼27일 중국 해커의 서버 침입으로 네이트와 싸이월드 회원 3490여만명의 아이디(ID), 비밀번호, 주민등록번호, 성명, 생년월일, 이메일 주소, 전화번호, 주소 등이 유출됐다. 피해자들은 재산적·정신적 손해를 입었다며 1인당 30만원씩을 청구하는 소송을 냈다. 재판부는 "정보통신서비스는 '개방성'을 특징으로 하는 인터넷을 통해 이뤄지고 정보통신서비스 제공자가 구축한 네트워크나 시스템 및 그 운영체제 등은 불가피하게 내재적인 취약점을 내포하고 있어 이른바 해커 등의 불법적인 침입행위에 노출될 수밖에 없다"며 "완벽한 보안을 갖춘다는 것은 기술의 발전 속도나 사회 전체적인 거래비용 등을 고려할 때 기대하기 쉽지 않다"고 밝혔다. 이어 "따라서 정보통신서비스 제공자가 해킹 등 침해사고 당시 사회통념상 합리적으로 기대 가능한 정도의 보호조치를 다하였는지 여부를 기준으로 판단해야 한다"고 설명했다. 그러면서 "SK커뮤니케이션즈는 이용자의 비밀번호를 일방향 암호화하고 주민등록번호도 별도로 암호화해 저장·관리하는 등의 조치를 취했다"며 "개인정보 보호조치 의무를 위반했다고 보기 어렵다"고 판시했다. 또 "SK커뮤니케이션즈가 개인정보 최소수집의무와 위험 IP 차단의무 등 법령에서 정한 개인정보 수집 및 관리상의 주의의무를 위반했다고 보기도 어렵다"고 덧붙였다. 대법원은 이날 네이트·싸이월드 서버 해킹 사건의 또 다른 피해자들이 낸 손해배상소송도 모두 원심대로 원고패소 판결을 확정했다.

2012년 발생한 KT 개인정보 유출 사고에서 회사의 책임을 인정한 1심 판결이 항소심에서 뒤집혔다. 인터넷이라는 특성상 모든 사이트가 해커의 불법적인 침입에 노출될 수밖에 없고 완벽한 보안을 갖추기는 어렵다는 취지다. 서울중앙지법 민사4부(재판장 송인권 부장판사)는 강모씨 등 KT 가입자 81명이 KT를 상대로 낸 손해배상청구소송(2015나61155)에서 원고일부승소 판결한 1심을 깨고 최근 원고패소 판결했다. 재판부는 "KT가 개인정보 유출방지에 관한 기술적·관리적 보호조치를 이행하지 않은 과실로 인해 사고가 발생했다고 보기 어렵다"고 밝혔다. 그러면서 "KT는 규정을 준수해 접속기록을 확인해왔다"며 "해커가 정상적 서버를 우회해 접속기록을 남기지 않고 정보를 유출했을 가능성을 예상하기 어려웠다"고 판시했다. 앞서 1심은 "KT가 고객정보를 보호하기 위한 노력을 다하지 못했다"며 "강씨 등에게 10만원씩을 지급하라"고 판결했다. 2012년 해커 2명에 의해 KT 가입자 870만명의 개인정보가 무분별하게 유출되는 사고가 발생했다. 해커들은 고객정보를 몰래 조회할 수 있는 프로그램을 만들어 이름과 주민등록번호를 비롯해 휴대전화 가입일, 고객 번호, 사용 요금제, 기기 변경일 등의 개인정보를 빼냈다. KT는 이러한 유출 사태를 5개월간 파악하지 못하다 뒤늦게 내부 보안점검을 통해 해킹 사실을 파악하고 경찰에 수사를 의뢰했다. 이에 강씨 등은 "KT의 관리·감독 부실로 개인정보가 유출됐다"며 "1인당 30만원을 배상하라"며 소송을 냈다.

해킹에 의한 개인정보 유출 사고로 피해를 입은 고객들이 케이티(KT)를 상대로 낸 손해배상 청구소송에서 법원이 엇갈린 판결을 내려 항소심 판단이 주목된다. 인터넷이라는 특성상 모든 사이트가 해커의 불법적인 침입에 노출될 수밖에 없고 완벽한 보안을 갖춘다는 것은 어렵다고 판단한 재판부가 있는 반면, 정보통신업체는 사회통념상 요구되는 수준 이상의 보호조치를 다해야 한다면서 보다 큰 책임을 강조한 재판부도 있다. 서울중앙지법 민사6단독 심창섭 판사는 17일 A씨 등 39명이 KT를 상대로 낸 손해배상 청구소송(2014가소413127)에서 "KT는 1인당 10만원씩 지급하라"며 원고일부승소 판결했다. 2013년 8월부터 2014년 2월까지 KT가 운영하는 마이올레 홈페이지에서 해킹 사고가 발생해 개인정보가 대거 유출됐다. 해커는 이 홈페이지 이용대금 조회란에 고유숫자 9개를 무작위로 자동 입력하는 해킹프로그램으로 KT 가입고객의 9자리 고유번호를 맞춰 개인정보를 빼냈다. 이에 A씨 등은 2014년 5월 "KT의 관리감독 부실로 개인정보가 유출됐다"며 "1인당 20만원을 배상하라"며 소송을 냈다. 심 판사는 "정보통신서비스 제공자는 사회통념상 합리적으로 기대 가능한 기술수준으로 개인정보를 관리하고 있지만 해커들은 항상 기술수준을 뛰어넘는 방법을 사용한다"며 "KT가 해킹 등 침해사고 당시 사회통념상 합리적으로 기대 가능한 기술적·관리적 보호조치를 한 것만으로 개인정보의 안전성 확보에 필요한 조치를 다했다고 볼 수 없다"고 밝혔다. 이어 "KT는 7개월간에 걸쳐 1170만건의 개인정보 유출이 이뤄졌는데도 이를 확인하지 못했다"며 "보안관련 인력을 보강하거나 서버를 외부접속용과 내부 접속용으로 분리하는 등 해킹 사고를 방지하기 위한 조치도 취하지 않았다"고 지적했다. 그러나 지난달 20일 서울중앙지법 민사22부(재판장 전지원 부장판사)는 B씨 등 같은 피해를 당한 3645명이 KT를 상대로 낸 손해배상 청구소송(2014가합553622)에서 원고패소 판결했다. 재판부는 "정보통신서비스 제공자가 법에서 정하고 있는 기술적·관리적 보호조치를 다했다면 개인정보의 안전성 확보에 필요한 보호조치를 취해야 할 법률상 또는 계약상 의무를 위반했다고 보기 어렵다"고 밝혔다. 이어 "하루 접속 건수가 3300만여건에 이르는 마이올레 홈페이지의 시스템과 같이 방대한 규모의 모든 웹서버 접속 로그 기록을 실시간 분석하거나 상시적으로 사후 분석하는 것은 현실적으로 불가능하다"며 "해커 접속(34만건)은 1% 미만이어서 이상행위를 탐지하기도 어려웠다"고 설명했다. 그러면서 "개인정보 등을 송·수신할 때 암호화의 대상 범위는 일반인이 접근 가능한 인터넷 공중망을 의미한다"며 "해커가 암호화되지 않은 주민등록번호를 확인한 곳은 대리점 PC 내부 영역으로 정보통신망법상 암호화가 요구되는 영역이 아니다"라고 판시했다. 정보통신망법 시행령 제6조 3항은 정보통신서비스 제공자 등은 정보통신망을 통해 이용자의 개인정보 및 인증정보를 송·수신할 때에는 안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다고 규정하고 있다. 앞서 대법원은 2015년 2월 KT와 유사하게 해킹에 의해 개인정보가 유출된 경매업체 옥션 사건에서 "온라인상거래업체의 회원 개인정보가 유출되는 사고가 벌어졌다 해도 업체가 미리 충분한 정보보호 조치를 취한 것으로 인정된다면 업체에 개인정보 유출에 대한 책임을 지우기 어렵다"고 판결했다(2013다43994). 한편 한국소비자원(원장 한견표)은 지난 20일 개인정보 유출 피해를 입은 KT 고객들이 "위약금 없이 서비스를 해지할 수 있도록 해달라"며 신청한 조정을 각하했다. 당시 KT는 개인정보 유출 피해를 본 고객들이 서비스를 해지하겠다고 하자 위약금을 규정대로 물려 사회적 비난을 받았다. 경실련은 2014년 7월 피해고객 57명과 함께 소비자원에 위약금을 물리지 않도록 집단분쟁조정을 신청했다. 그러나 소비자원은 "법에서 정한 최소한의 기술적·관리적 보호조치를 취했으므로 이용계약 해지에 귀책사유가 없고, 개인정보 유출로 재산적 피해는 발생하지 않았다"는 이유로 각하 결정했다. 이에 경실련은 "소비자원은 합리적 설명 없이 절차를 개시하지 않은 채 사건을 장기간 방치해, 다수 피해자가 어쩔 수 없이 해지 위약금을 부담하거나 남은 약정 기간을 채울 수밖에 없었다"며 소비자원에 대한 공익감사 청구와 행정소송 제기를 검토하겠다고 밝혔다.

서울중앙지법 형사22부(재판장 장준현 부장판사)는 납품업체로부터 돈을 받은 혐의(특정경제범죄가중처벌법상 알선수재 등)로 구속기소된 김재열(46) 전 KB금융지주 전무에게 징역 3년에 추징금 6800만원을 선고했다고 6일 밝혔다(2015고합8). 재판부는 "피고인은 최고 의사결정권자로서 부하직원의 모범이 되고 업무처리에 공정을 잃지 않도록 처신에 신중을 기울였어야 함에도 오히려 자신의 지위와 영향력을 범행에 적극 활용해 엄벌이 불가피하다"고 밝혔다. 김씨는 지난 2013년 7월 KB금융지주의 최고정보관리책임자(CIO)로 취임한 뒤 KB금융그룹의 통신인프라 고도화 사업(IPT)을 추진했다. 이 과정에서 친분이 있는 소프트웨어업체 대표 조모씨의 청탁을 받고 KT가 주사업자로, 하도급업체로 G사가 선정되도록 영향력을 행사하고 조씨로부터 현금 2000만원과 부인의 차 운전기사 2명의 임금 4800만원을 받은 혐의를 받고 있다. 김씨는 1993년 청와대 PC통신 ID를 도용해 은행 전산망에 접속했다가 적발된 고졸 출신 '국내 1호' 해커로 이름이 알려졌다. 2008년 KB국민은행연구소 소장으로 영입됐다.

온라인상거래업체의 회원 개인정보가 유출되는 사고가 벌어졌다 해도 업체가 미리 충분한 정보보호 조치를 취한 것으로 인정된다면 해당 업체에게 개인정보 유출에 대한 책임을 지우기 어렵다는 대법원의 첫 판결이 나왔다. 대법원 민사1부(주심 고영한 대법관)는 간모씨 등 개인정보가 유출된 옥션 고객 2만2650명이 옥션을 운영하는 ㈜이베이(소송대리 김앤장 법률사무소)와 이 회사의 보안관리업체 인포섹(소송대리 법무법인 남산)을 상대로 낸 손해배상 청구소송 상고심(2013다43994)에서 원고패소 판결한 원심을 12일 확정했다. 재판부는 "옥션의 보안기술 수준과 보안조치를 보면 회원들의 개인정보를 안전하게 지키기 위해 필요한 보호조치를 모두 다 한 것으로 보이기 때문에 회원 개인정보 유출에 대한 손해배상 책임을 인정하기 어렵다"고 밝혔다. 이에 대해 "인터넷의 특성상 모든 사이트는 해커의 불법적인 침입에 노출될 수밖에 없고, 완벽한 보안을 갖춘다는 것도 어렵다"고 설명했다. 옥션은 2008년 1월 중국인 해커로부터 회원 1800만명의 이름과 주민등록번호, 주소, 아이디, 계좌번호 등 개인정보를 모두 해킹당했다. 옥션 회원 14만6601명은 "1명당 20만원씩 배상하라"며 역대 최대 규모의 집단소송을 냈다. 1·2심은 "옥션은 해킹사고를 방지하기 위해 기술적인 보호 조치를 다 했다"며 원고패소 판결했고 고객 2만2650명만이 상고했다.