[보안뉴스 / 6.22.] 에이피티씨, 주주 개인정보 유출… 주주 겸 정보관리자 소행 추정

지난해 10월 말 법무법인에 사건 의뢰, 12월 사법당국에 수사 의뢰
지난해 3월 말 기준 주주명부 유출…내부자 3명 외 유출 가담자 추가 가능성도
주주명, 주소, 소유 주식수, 실질주주번호, 내외국인 구분 등 항목 유출…21일 안내문 통해 밝혀

[보안뉴스 김영명 기자] 반도체 식각장비 전문업체 에이피티씨(APTC)에서 내부자 행위로 인한 주주 개인정보 유출사고가 발생했다. 이번 개인정보 유출사고는 한 주주의 의도적인 소행으로 추정되고 있다. ‘식각장비’란 반도체 제조공정에서 반도체 웨이퍼 또는 웨이퍼 위에 증착된 박막을 선택적으로 제거해 원하는 형태의 구조물로 만드는 장치를 뜻한다. 에이피티씨 측은 21일 ‘개인정보유출 관련 안내문’을 공지하며 사법당국에 수사를 의뢰했다고 밝혔다.

▲반도체 식각장비 전문업체 에이피티씨에서 내부자 행위로 인한 주주 개인정보 유출 사고가 발생했다[자료=에이피티씨]

에이피티씨 측에 따르면, 이번에 유출된 주주 개인정보는 지난해 3월 31일 기준 주주의 △주주명 △주소 △소유 주식수 △실질주주번호 △내외국인구분 등 5개 항목이다. 회사는 해당 주주명부를 당사의 관계인 외 외부인이 보유하고 있는 것을 우연한 기회에 인지했다고 밝혔다.

회사 측은 “유출자에 대한 정확한 확인이 불가능해 당사가 인지한 즉시 유출에 가담한 것으로 의심되는 관련자 3명을 개인정보 보호법 위반 공동범행(개인정보 보호법 제71조 제2호, 제19조)으로 2022년 10월경 법무법인에 이 사건을 의뢰했다”며 “법무법인이 법률적 검토를 마치고 2022년 12월 사법 당국에 수사를 의뢰했고, 유출에 가담한 자들은 3명 이외에 추가로 더 있을 것으로 예상된다”고 밝혔다.

이번 사건은 몇 개월 전 회사 임직원이 아닌 외부인이자 회사 주식을 보유한 B 대주주가 주식을 한 증권사를 통해 팔려고 하다가, 해당 주식 매입에 관심을 보이는 한 투자회사 임원이 회사에 연락을 하면서 시작됐다.

지난해 초 A 주주는 회사 주식을 매입해 실제 주주가 된 바로 다음날 회사에 주주명부 열람을 청구했다. 회사는 시간 흐름상 A 주주의 목적이 주주명부 유출로 의심돼 주주명부 열람을 거부했다. A 주주는 이에 그치지 않고 수원지방법원 여주지원에 주주명부열람등사 가처분 소송을 제기했으며, 법원의 인용 결정으로 A 주주는 USB에 주주들의 개인정보가 담긴 주주명부를 복사했다.

A 주주가 주주명부 소송을 제기한 비슷한 시기에 회사 주식을 보유한 B 대주주가 주식을 팔기 위해 S 증권사와 주식매각 자문계약을 체결한 사실이 확인됐으며, S 증권사 P 직원은 B 대주주 측이 소송을 통해 당사의 주주명부를 곧 입수한다고 한다는 내용의 문자를 투자자에게 보낸 사실도 드러났다. 이번에 넘어간 주주명부상의 기준일은 지난해 3월 31일로 추측하고 있다.

회사는 주주명부를 복사해 간 A 주주가 B 대주주 측에 개인정보를 무단으로 넘기고, B 대주주 측은 주식매각 자문계약 관계에 있는 S 증권사 P 직원에게 전달한 것으로 추정하고 있다. 이는 주주명부상의 개인정보 유출과 관련된 자들은 시세보다 높은 가격에 주식매각이 이뤄지면, 상상하기 어려운 금액의 매각에 따른 수수료를 S 증권사가 챙기게 되고, S 증권사의 직원들은 상당히 높은 성공보수를 챙기게 된다.

에이피티씨 측은 “이번 사건은 B 대주주와 그의 주식을 매각하기 위해 계약돼 있는 관계자들은 큰 이득을 챙길 수 있다”며 “제3자의 범죄행위로 인한 개인정보 유출인 만큼 개인정보가 유출됐다는 사실 자체를 단정하기 어려웠다. 결국 이번 개인정보 유출 문제는 사법당국의 수사로 판단할 수 밖에 없다고 생각해 법무법인을 통해 사법당국에 이들을 수사를 의뢰하고 사법당국에서 조사를 진행 중에 있다”고 밝혔다.

한편, 이번 사건은 유출 당사자를 포함한 관련자들의 비협조와 수사당국의 업무 과중으로 수사가 몇 개월째 더디게 진행되고 있다고 밝혔다. 이어 수사 중인 사건에 대해 기밀이 요구되지만, 관련 법령상 회사의 의무를 충실히 이행하기 위해 개인정보의 주체자인 주주에게 알리는 것이 타당하다는 판단 하에 안내한다고 공지를 올린 사유를 밝혔다.

▲에이피티씨에서 홈페이지에 공지한 개인정보 유출 관련 안내문 전문[자료=에이피티씨]

회사 관계자는 “법원의 인용결정으로 당사의 주주명부를 복사해간 A 주주는 그 복사해간 시점부터 복사해간 2022년 3월 31일 기준 주주명부의 정보관리자가 됐다”며 “정보관리자는 개인정보 관리를 충실해야 하며 불법으로 유출하거나 사용했을 때 법적 책임을 지게 된다”고 밝혔다. 이어 “정보관리자인 A 주주에 의해 개인정보가 담긴 지난해 3월 31일 기준 주주명부가 불법으로 유출됐고 B 대주주의 주식매각과 관련된 자들에 의해 추가로 여러 투자자들 등에 불법 유출된 것으로 추정된다”고 설명했다.

회사 측은 사법기관의 수사가 종료되면 불법적인 개인정보 취득과 유출에 관련된 사람들에 대한 손해배상소송 관련 사항도 법의 테두리 안에서 별도로 안내하겠다고 덧붙였다.
[김영명 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>