"개인정보 안전조치 소홀" 대교·영훈의료재단 총 38억원대 과징금

대교 32억5500만원·영훈 6억3000만원
회원가입 재검토·웹 취약점 점검 등 당부

개인정보보호위원회는 개인정보 보호 법규를 위반한 대교, 의료법인 영훈의료재단 두 곳에 총 38억8500만원의 과징금을 부과하고 시정·공표 명령을 내렸다고 29일 밝혔다. 이들 사업자는 '개인정보보호법' 제29조에 따른 안전조치 의무를 소홀히 해 대규모 개인정보 유출 사고를 야기한 것으로 확인됐다.

송경희 개인정보보호위원장이 28일 정부서울청사에서 개최된 제21회 전체회의에서 모두발언을 하고 있다. 개인정보위 제공

눈높이, 차이홍 등 온·오프라인 종합 교육 서비스 운영 사업자인 대교에 부과한 과징금은 32억5500만원이다. 신원 미상의 해커는 관계사 홈페이지의 웹 취약점을 악용해 웹셸을 올린 후 2024년 8월과 2025년 2월 두 차례에 걸쳐 악성코드를 실행했다. 이를 통해 관계사 웹서버와 연동된 대교의 온라인 교육 서비스 회원 데이터베이스(DB)에서 약 65만명의 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등 개인정보가 유출됐다.

개인정보위 조사에 따르면 대교는 관계사 웹서버에서 회원 DB로 직접 연결할 수 있는 불필요한 접근을 허용하고 있었다. 특히 2024년 8월 첫 유출 당시 보안관제업체로부터 이상행위 보안 탐지 안내를 받았지만, 상세 분석·차단 등 대응 조치를 소홀히 해 이듬해 2월 동일한 방식의 유출이 재발한 것으로 드러났다. 개인정보보호책임자(CPO)의 내부 관리계획 이행 실태 점검이 미흡한 것도 문제였다. 이에 개인정보위는 과징금을 부과하고, 안전조치 강화와 유출 사고 대응체계 정비 명령을 내렸다. 처분 사실은 홈페이지에 공표하도록 했다.

과징금 6억3000만원과 시정명령 처분을 받은 영훈의료재단은 2024년 3월 해킹 사고를 겪었다. 해커는 병원 홈페이지의 SQL 인젝션 취약점을 공격해 회원 18만8481명의 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등 개인정보를 탈취했다. 개인정보위는 영훈의료재단이 예약신청 등을 보조하는 홈페이지를 운영하면서 회원가입을 통해 개인정보를 수집했으나, 웹 방화벽 등 탐지·차단 시스템은 설치·운영하지 않았다고 설명했다.

그뿐만 아니라 SQL 인젝션 등 웹 취약점 점검이나 입력값 검증 프로그램 구현을 하지 않은 것으로 나타났다. 특히 회원가입 시 입력한 비밀번호를 암호화하면서 안전하지 않은 암호 알고리즘을 사용했으며, 솔트 값을 사용하지 않아 일부 비밀번호는 복호화가 가능한 상태였던 것으로 밝혀졌다. 개인정보위는 과징금 처분과 함께 주기적인 취약점 점검과 개선 조치 이행을 명령했다.

개인정보위 관계자는 "이번 조사는 주요 시스템뿐 아니라 관계사 연결 서버나 보조 홈페이지도 유출 경로가 될 수 있음을 확인하고 안전조치 점검의 중요성을 강조했다는 데 의의가 있다"며 "홈페이지 회원가입 기능 등의 필요성을 검토해 불필요한 개인정보 수집되지 않도록 하고, 웹 취약점 점검과 이상행위 탐지·대응체계를 강화해 달라"고 당부했다.

노경조 기자 felizkj@asiae.co.kr