[뉴스토마토 전연주 기자] 개인정보보호위원회(개보위)가 개인정보 보호를 위한 안전조치 의무를 위반한 대교와 영훈의료재단에 총 38억8500만원의 과징금을 부과했습니다. 대교는 첫 개인정보 유출 당시 보안 경고를 받고도 적절히 대응하지 않아 같은 방식의 유출 사고가 반복됐고, 영훈의료재단은 병원 홈페이지의 보안 취약점을 제대로 관리하지 않은 것으로 드러났습니다.
29일 개보위에 따르면 전날 열린 제21회 전체회의에서 대교에 과징금 32억5500만원, 대전선병원과 유성선병원을 운영하는 영훈의료재단에 6억3000만원을 각각 부과하기로 의결했습니다.
송경희 개인정보보호위원회 위원장이 지난 28일 정부서울청사에서 개최된 제21회 위원회 전체회의에서 의사봉을 두드리고 있다. (사진=개보위)
온·오프라인 종합 교육 서비스 운영 사업자인 대교에서는 약 65만명의 개인정보가 유출됐는데요. 해커는 관계사 홈페이지의 보안 취약점을 이용해 악성코드를 심은 뒤 2024년 8월과 2025년 2월 두 차례에 걸쳐 대교의 온라인 교육 서비스 '마카다미아' 회원 데이터베이스(DB)에 접근한 것으로 확인됐습니다. 이 과정에서 이름과 생년월일, 휴대전화번호, 연계정보(CI) 등이 유출됐습니다.
문제는 첫 유출 당시 이미 이상 징후가 포착됐다는 점입니다. 대교는 2024년 8월 보안관제업체로부터 이상행위 탐지 안내를 받았지만, 구체적인 분석이나 접근 차단 등 후속 대응을 충분히 하지 않았습니다. 관계사 웹서버에서 대교 회원 DB로 직접 접근할 수 있도록 불필요한 연결을 허용한 점도 확인됐습니다.
게다가 개인정보보호책임자(CPO)의 관리·감독도 미흡했습니다. 개보위는 대교 CPO가 접근통제 등 내부 관리계획의 이행 여부를 제대로 점검하지 않았다고 판단해, 개인정보처리시스템의 안전조치 강화와 유출사고 대응체계 정비를 명령했습니다. 이어 처분 사실을 홈페이지에 공표하도록 했습니다.
영훈의료재단에서는 병원 홈페이지 회원 18만8481명의 개인정보가 유출됐습니다. 해커는 2024년 3월 홈페이지 입력창에 DB 명령어를 입력해 정보를 빼내는 'SQL 인젝션' 공격으로 아이디와 비밀번호, 이름, 휴대전화번호, 생년월일 등을 탈취했습니다.
조사 결과 재단은 병원 안내와 예약신청 등을 위한 홈페이지에 관행적으로 회원가입 기능을 운영하면서 개인정보를 수집했지만, 웹 방화벽 설치나 취약점 점검 등 기본적인 보호조치를 제대로 갖추지 않은 것으로 파악됐습니다. 회원 비밀번호에도 안전하지 않은 암호화 알고리즘을 사용하고 별도의 솔트 값을 적용하지 않아 일부 비밀번호는 복호화가 가능한 상태였던 것으로 확인됐습니다.
개보위는 불필요한 회원가입과 개인정보 수집을 줄이고, 주요 시스템뿐 아니라 연결된 서버까지 보안 취약점과 이상 접속 여부를 점검할 것을 당부했습니다.
전연주 기자 kiteju1011@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지