◼ 하이브 랜섬웨어가 뭐길래?

2021년 6월, 운영을 시작한 하이브 랜섬웨어는 RDP 취약점을 이용해 시스템에 침투하여 파일을 암호화 하고, 버전에 따라 확장자를 ‘.hive’ 또는 임의의 문자열로 변경하는 랜섬웨어에요. 피해자들은 이런 식으로 변형된 시스템과 데이터들을 더 이상 사용할 수 없게 되니, 하이브는 이를 인질로 삼아 금전을 요구하는 거죠.

2022년 2월, 하이브는 국내 최대 기업을 해킹했다고 주장 한 사례도 있어 마냥 생소하기만 하지는 않을 거예요. 당시 보안당국에서 하이브 랜섬웨어 복구 도구 4종을 개발하여 배포한 적도 있어요.

 

◼ 그들의 타깃은?

2021년 8월, 미국 대형 의료기관 ‘메모리얼 헬스 시스템(Memorial Health System)’을 공격해 시스템을 마비시켰어요. 당시 예약된 수술이 모두 취소됐고, 환자들은 다른 병원으로 후송됐어요. 이후 한 동안 아날로그 방식으로 환자를 진료하고, 새로운 환자를 받을 수 없었고요. 또, 미국 비영리 의료 단체 LCMHS이 공격 받아 약 27만 명에 이르는 환자 정보가 유출됐고, 미주리의 메디컬 센터도 해킹된 사례가 있어요.

우리나라와 미국뿐 아니라 독일, 호주, 코스타리카 등 여러 나라들이 하이브로부터 공격을 받았다고 해요. 하이브의 이런 행보는 주시해야 할 4개의 랜섬웨어 집단으로 언급되기도 했어요.

 

◼ Hacked the Hackers?

이런 악행을 일삼던 하이브 랜섬웨어를 연방수사국(FBI)가 폐쇄하는데 성공했다는 소식이고요. 이미 지난해 6월 하이브의 컴퓨터 네트워크에 침투, 300개 이상의 해독 암호를 탈취해 하이브 공격을 받은 피해자들에게 전달했다고 해요. 이를 통해 약 1억 3천만 달러의 돈이 지급되는 것을 막았다니 정말 다행이죠. 또 추가로 1천 개의 해독 암호를 확보해 이전 피해자들에게도 제공했다고 해요.

이들 사이트를 압수하는 데에는 네덜란드와 독일 등의 여러 나라의 공조가 한몫했다고 해요. 역시 해킹으로부터 자유롭기 위한 공통된 목표를 향해 여러 국가의 함께 나아가니 무서울 게 없어 보이던 해킹 그룹도 검거할 수 있네요.

 

 지난 1월 31일 개인정보보호위원회와 고용노동부가 함께 개정한 '개인정보보호 가이드라인 ‘인사‧노무편'이 발표됐어요. 이번 가이드라인은 디지털 장치를 이용한 근로자 개인정보 처리 증가와 개인정보보호 수준을 제고하기 위함이며, 산업계‧시민단체 협의 및 전문가 자문 등을 거쳐 근로관계 전반에 걸쳐 개인정보보호에 필요한 사항 등이 마련된 것이라고 하고요.

 

가이드라인에서는 인사‧노무 업무를 ①채용준비 ②채용결정 ③고용유지 ④고용종료 4단계로 나눠 각 단계별 준수사항을 안내되어 있어요.

① 채용준비

개인정보를 최소한으로 수집해서 안전하게 관리하기 위한 계획

 채용 전형 시, 입사지원자가 불필요한 개인정보(용모·키·체중 등 신체적 조건, 출신 지역·혼인 여부·재산, 직계 존비속 및 형제자매의 학력·직업·재산에 관한 정보)를 제출하지 않도록 사전에 안내해 최소한으로 개인정보를 처리해야 하며, 합격 여부는 당사자에게 직접 통보해 불필요한 노출을 방지해야 하고, 채용 여부 확정 후에는 채용서류를 반환하거나 온라인 제출로 반환이 어려운 경우 지체없이 파기해야 해요.

만약, 채용시험 점수 열람을 요청한다면?

 특별한 사정이 없는 한 열람을 허용해야 하고, 인공지능 등 완전히 자동화된 시스템으로 채용 전형을 진행할 시에는 정보 주체가 요구하는 경우 해당 시스템에 의한 결정에 대해 채용 담당자 등이 검토해 결과를 설명해야 해요.

 

② 채용 결정

근로자 명부, 임금대장 등 법령상 의무준수

 필요한 경우, 해당 법령 근거를 안내하고 개인정보를 수집해야 하며, 인사발령·교육·복리후생·연봉계약·근무성적평가 등 근로계약 체결·이행을 위해 필요한 최소한의 개인정보를 수집해야 해요. 또한 개인정보위는 법령준수 및 단체협약‧취업규칙‧근로계약 체결‧이행에 필요한 개인정보 이외의 수집은 개인정보 최소수집 원칙에 위배 될 소지가 있어요.

 

③ 고용 유지

근로자의 개인정보를 공개해야 한다면?

 원칙적으로 근로자 동의를 받아야 하고 급여 등 개인정보 처리 위탁 시 교육‧감독 등을 철저히 해야 해요.

 또 영업 양도‧합병 등으로 근로자 개인정보 이전 시에는 ‘이전 사실, 받는 자의 연락처, 이전을 원하지 않는 경우 조치 방법’ 등을 알려야 해요.

④ 고용 종료

퇴직으로 인해 개인정보가 불필요해. 이러한 경우엔?

 원칙적으로 복구 또는 재생되지 않는 방법으로 지체없이 파기하고, 경력증명서 발급을 위한 개인정보는 보유 기간을 공식적으로 정해 개인정보처리방침에 작성‧공개해야 해요. 인사정책 수립목적으로 퇴직자 인사 정보가 필요한 경우에는 익명 또는 가명처리 후 통계 등의 형태로 이용할 수 있고요.

 

 발표된 ‘개인정보보호 가이드라인’은 인사‧노무 업무담당자들이 현장에서 활용할 수 있도록 공개하고 온·오프라인 교육과 홍보를 병행할 예정이라고 하니 많은 분들에게 도움이 되겠네요.