개인정보보호위원회가 교육기업 대교와 의료법인 영훈의료재단에 총 38억 8500만 원의 과징금을 부과했다.

개인정보위는 지난 28일 제21회 전체회의를 열어 이같이 의결했다.

눈높이 등 온오프라인 종합 교육 서비스를 제공하는 대교는 32억 5500만 원의 과징금 처분을 받았다.

대교에서는 2024년 8월과 지난해 2월 두 차례 발생한 해킹으로 회원 약 65만 명의 개인정보가 유출됐다. 해커는 관계사 홈페이지의 웹 취약점을 악용해 웹셸을 업로드하고 악성코드를 실행해 회원 데이터베이스(DB)에서 이름·생년월일·휴대전화번호·연계정보(CI) 등을 탈취했다.

웹셸은 해커가 웹 서버에 심어 원격으로 명령을 실행할 수 있게 하는 악성 스크립트다.

개인정보위 조사 결과에 따르면 대교는 관계사 웹 서버에서 대교 회원 DB에 직접 연결할 수 있는 불필요한 접근 경로를 허용하고 있었다.

개인정보위는 대교의 개인정보보호책임자(CPO)가 이번 유출사고의 원인이 된 접근통제 사항 등 개인정보 유출 방지를 위한 내부 관리계획의 이행 실태 점검을 소홀히 한 사실도 확인했다고 밝혔다.

또한 2024년 8월 첫 유출사고 당시 보안관제업체로부터 이상행위와 관련된 보안 탐지 안내를 받았지만 상세 분석·차단 등 대응 조치를 소홀히 했다. 개인정보위는 당시 미흡한 대응으로 지난해 같은 유형의 해킹 피해가 재발한 것으로 판단했다.

이에 개인정보위는 대교에 과징금 32억 5500만 원을 부과하고 개인정보처리시스템에 대한 안전조치를 강화하고 전반적인 유출사고 대응체계를 정비하도록 시정명령했다. 또 사업자 홈페이지에 처분받은 사실을 공표하도록 명령했다.

대전선병원과 유성선병원을 운영하는 의료법인 영훈의료재단에는 6억 3000만 원의 과징금 처분이 내려졌다.

지난 2024년 3월 영훈의료재단이 운영하는 병원 홈페이지 내 SQL 인젝션 취약점을 악용한 공격으로 홈페이지 회원 18만 8481명의 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등 개인정보가 유출됐다.

SQL 인젝션은 웹사이트 입력값에 정상적인 값 대신 악의적인 명령어를 삽입해 데이터베이스에 접근하는 공격 방식이다.

개인정보위 조사에 따르면 영훈의료재단은 웹 취약점 공격 등을 탐지·차단할 수 있는 웹 방화벽 등을 설치하지 않았다. SQL 인젝션 등 웹 취약점을 점검하거나 홈페이지 내 입력값을 검증할 수 있는 프로그램도 구현하지 않은 것으로 파악됐다.

또한 병원 홈페이지에서 회원 비밀번호를 암호화할 때 안전하지 않은 알고리즘을 사용했고, 같은 알고리즘 내 해시값의 중복을 방지하기 위한 솔트 값도 적용하지 않은 것으로 확인됐다. 이로 인해 일부 비밀번호는 원래 값을 알아낼 수 있는 것으로 드러났다.

이에 개인정보위는 영훈의료재단에 과징금 6억 3000만 원을 부과하고 개인정보처리시스템에 대한 주기적인 취약점 점검 및 개선 조치를 이행하도록 시정명령했다.

송경희 개인정보위 위원장은 이날 전체회의에서 "홈페이지를 통해 효율적으로 서비스를 제공하려는 노력은 바람직하지만 그 과정에서 꼭 필요한 정보만 수집했는지, 수집한 정보를 지키기 위한 안전조치가 충분한지 돌아볼 필요가 있다"고 말했다.

이어 송 위원장은 인공지능(AI)이 취약점을 빠르게 찾고 공격을 시도하는 상황에서 작은 관리의 소홀이 대규모 사고로 이어지고 있다며, 개인정보를 수집하는 주체들이 정보 수집과 관리 실태를 철저히 점검할 필요가 있다고 당부했다.

sumin02@news1.kr