Infogreffe, 19년간 370만 개 비밀번호를 평문으로 저장 — CNIL, 25만 유로 과징금 부과

Infogreffe는 프랑스 상사법원 서기들의 경제이익단체로, 2001년부터 infogreffe.fr을 통해 인증된 기업 기록을 판매해 왔다(1987년부터는 미니텔). 민간 법조인이 운영하는 공공 서비스 임무다. 2020년 12월 한 사용자가 이름만 대고 전화로 자신의 비밀번호를 되찾았으며 사이트가 비밀번호를 평문으로 저장한다고 신고했다. 2021년 3월 CNIL의 온라인 점검은 신고보다 훨씬 심각한 상황을 확인했다.

위반은 두 가지다. 보존: Infogreffe 자체의 GDPR 헌장은 사용자의 마지막 주문 후 36개월 뒤 삭제를 약속했지만, 2021년 5월 1일 데이터베이스에는 3년 넘게 비활성 상태인 회원 946,023명과 구독자 17,558명의 이름, 주소, 전화번호, 비밀 질문과 답변, 그리고 구독자의 경우 IBAN과 BIC까지 여전히 보관되어 있었다. 자동 익명화는 전혀 존재하지 않았고, 계정의 약 4분의 1이 한도를 넘겨 있었다.

보안: 2002년 이후 손대지 않은 비밀번호 정책 아래 비밀번호는 8자로 제한되고 복잡성 규칙도 2차 인증도 없었으며, 영구 자격 증명으로서 평문으로 이메일 발송되고 평문으로 저장되었고, 비밀번호가 변경될 때 사용자에게 알리지도 않았다. 370만 개 계정 전부가 노출되어 있었다.

변론은 상황을 더 악화시켰다. Infogreffe는 보안은 수단의 의무일 뿐이며 실제 침해를 입증할 것이 없다고 주장하고, CNIL의 비밀번호 지침을 연성법으로 치부하며, 처리업체에 책임을 돌렸다. 그러나 그 처리업체를 감독한 적도 없었다. 위원회는 이 실패를 구조적이라고 규정했다. 익명화와 보안 작업이 추가 자원 없이 무관한 규정 준수 기한 때문에 계속 미뤄졌고, 공적 직무를 맡은 서기들에게는 각별한 엄격함이 요구된다는 것이다. 과징금: 25만 유로, 결정문은 2022년 9월 13일 공개되었다.

CNIL 과징금 25만 유로; 370만 개 계정 전부가 2차 인증 없이 최대 8자 비밀번호로 운영됨; 사이트 자체의 36개월 한도를 넘겨 보관된 휴면 계정 963,581개

보존 규칙은 종이 위에만 존재했다. 36개월 한도는 Infogreffe 자체 헌장에 명시되어 있었지만 삭제나 익명화 절차는 구축된 적이 없어 기록이 무한정 쌓였다.

2002년부터 이어진 보안 부채는 다시 검토된 적이 없었다. 8자 비밀번호 상한은 평문 저장으로만 구현 가능하며, 2021년 6월까지 370만 개 계정 전부를 조용히 지배했다.

평문 이메일 전달에 변경 알림 부재까지 더해져, 피싱에 노출된 메일함 하나 또는 설득력 있는 전화 한 통이면 계정 전체를 탈취할 수 있었다. 2020년 12월 신고가 보여준 것이 바로 그것이다.

경영진은 위험의 우선순위를 낮췄다. 익명화와 보안 프로젝트는 추가 자원 없이 개인정보와 무관한 규정 준수 업무 때문에 미뤄졌고, 책임은 아무도 점검하지 않은 처리업체로 전가되었다.

보존 정책은 어기면 과징금을 물 수 있는 약속이다. Infogreffe는 36개월 규칙을 문서로 정했지만 삭제 작업은 구축하지 않았다. 그리고 2002년부터 이어진 보안 부채는 스스로 사라지지 않는다.

Infogreffe는 CNIL 점검이 시작되자 36개월 넘게 휴면 상태인 계정을 삭제했지만, 위원회는 과거 기간에 해당하는 구조적 위반이 확인되었다고 판단했다. 25만 유로 과징금과 결정문 공개는 2022년 9월 13일에 이루어졌으며, CNIL 공개 규칙에 따라 2년 후 결정문에서 회사명은 익명화된다. 이 사건을 촉발한 그 전화 한 통, 즉 헬프데스크가 이름만으로 비밀번호를 돌려준 일은, 이 사이트의 인증이 신원을 형식으로만 취급했음을 가장 명확히 보여준다.