大教集团32.55亿韩元、永勋医疗财团6.3亿韩元
呼吁重新评估会员注册功能、检查网页漏洞等
韩国个人信息保护委员会29日表示，已对违反个人信息保护法规的大教集团和永勋医疗财团两家机构合计处以38.85亿韩元罚款，并下达整改及公示命令。经查，这些经营者疏于履行《个人信息保护法》第29条规定的安全措施义务，导致大规模个人信息泄露事故。
大教集团运营“眼高”“彩虹”等线上线下综合教育服务，所受罚款为32.55亿韩元。身份不明的黑客利用关联公司网站的网页漏洞上传网页后门，并于2024年8月和2025年2月两次运行恶意代码。由此，大教集团在线教育服务的会员数据库（DB）中，约65万人的姓名、出生日期、手机号码、关联信息等个人信息遭到泄露。该数据库与关联公司网络服务器相连。
据韩国个人信息保护委员会调查，大教集团允许从关联公司网络服务器直接访问会员数据库，存在不必要的访问权限。尤其是2024年8月首次发生泄露时，该公司虽收到安全监控服务商关于检测到异常行为的通知，却疏于采取详细分析、封锁等应对措施，导致次年2月以相同方式再次发生泄露。个人信息保护负责人对内部管理计划执行情况的检查也不到位。为此，韩国个人信息保护委员会处以罚款，并责令其加强安全措施、完善泄露事故应对体系，同时要求在官网公布处罚事实。
被处以6.3亿韩元罚款并收到整改命令的永勋医疗财团于2024年3月遭遇黑客攻击。黑客利用医院网站的结构化查询语言注入漏洞，窃取了18万8481名会员的账号、密码、姓名、手机号码、出生日期等个人信息。韩国个人信息保护委员会表示，永勋医疗财团运营用于辅助预约申请等事务的网站，并通过会员注册收集个人信息，但没有安装或运行网页防火墙等检测和拦截系统。
此外，该机构也没有进行结构化查询语言注入等网页漏洞检查，或部署输入值验证程序。尤其是对会员注册时填写的密码进行加密时，使用了不安全的加密算法，且未使用加盐值，导致部分密码可以被解密。韩国个人信息保护委员会在处以罚款的同时，还责令其定期检查漏洞并落实改进措施。
韩国个人信息保护委员会相关人士表示：“此次调查确认，不仅主要系统，关联公司的连接服务器或辅助网站也可能成为信息泄露渠道，并强调了检查安全措施的重要性。”该人士还呼吁：“请评估网站会员注册功能等的必要性，避免收集不必要的个人信息，并加强网页漏洞检查以及异常行为检测和应对体系。”
版权所有 © 阿视亚经济。未经许可不得转载，禁止用于AI训练及使用。
