[이데일리 안유리 기자] HD현대그룹 계열사 2곳이 2024년 3월 발생한 임직원 개인정보 유출 사고로 약 7000만원 규모의 과징금과 과태료를 부과받았다.

개인정보위는 26일 제17회 전체회의를 열고 개인정보 보호법을 위반한 HD건설기계(267270)에 과징금 7350만 원을, 유출의 경로로 이용된 HD한국조선해양(009540)에 과태료 480만원을 부과했다고 27일 밝혔다.

사고는 2024년 3월 발생했다. 신원 미상의 해커는 HD한국조선해양이 운영하는 모바일 기기 관리 서버의 취약점을 이용해 웹셸(Web Shell) 파일을 업로드했다. 웹셸은 해커가 서버를 원격으로 제어할 수 있도록 하는 악성 프로그램이다.

해커는 이를 통해 서버와 통신이 가능한 HD건설기계 내부 업무용 시스템에 접속했다. 이 과정에서 HD건설기계 임직원 및 협력사 직원의 성명과 사번 등 9503명의 개인정보가 유출됐다.

개인정보위 조사 결과 HD한국조선해양의 모바일 기기 관리 서버는 파일 업로드 취약점에 대한 안전조치가 미흡해 개인정보 유출 경로로 이용된 것으로 나타났다.

HD한국조선해양의 모바일 기기 관리 서버와 HD건설기계 내부 업무용 시스템 간 업무상 연계가 불필요한데도 불구하고 양사 시스템 간 접근을 제한하지 않은 점도 확인됐다. 해커는 이 같은 시스템 구조를 악용해 HD건설기계 내부 업무용 시스템에 접근한 것으로 조사됐다.

개인정보위는 이번 사고가 개인정보처리자가 개인정보처리시스템의 취약점 관련 조치를 소홀히 하고, 업무상 연계가 불필요한 서버에 대한 접근통제 조치를 하지 않아 발생했다고 판단했다.

개인정보위는 “개인정보 유출을 예방하기 위해서는 보안대책을 정기적으로 검토하고 불필요한 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접속 권한을 IP 주소 등으로 제한해 불필요한 접근을 차단·통제해야 한다”고 당부했다.