송경희 개인정보보호위원회 위원장이 정부서울청사에서 개최된 제21회 위원회 전체회의에서 의사봉을 두드리고 있다. (사진=개인정보보호위원회)
개인정보보호위원회는 지난 28일 제 21회 전체회의를 열고 개인정보 보호법상 안전조치 의무를 위반한 대교와 의료법인 영훈의료재단에 과징금 부과 및 시정명령을 내렸다.
대교에 32억 5500만원, 의료법인 영훈의료재단(대전선병원, 유성선병원)에 과징금 6억 3000만 원이 부과됐다.
개인정보위 조사에 따르면 신원을 알 수 없는 해커는 대교의 관계사 홈페이지의 웹 취약점을 이용해 웹셸을 올린 뒤 2024년 8월과 2025년 2월 악성코드를 실행했다. 관계사 웹서버와 연결된 대교 온라인 교육 서비스 ‘마카다미아’ 회원 DB에서 이름과 생년월일, 휴대전화번호, 연계정보(CI) 등이 빠져나갔다.
대교는 관계사 웹서버에서 회원 DB로 직접 연결되는 불필요한 접근을 허용하고 있었다. 첫 유출이 발생한 2024년 8월 보안관제업체로부터 이상행위 관련 안내를 받았지만, 상세 분석과 차단 등 유출 시도에 대한 탐지·대응 조치를 제대로 하지 않았다. 같은 방식의 접근과 개인정보 유출이 6개월 뒤 반복됐다.
개인정보위는 대교 개인정보보호책임자(CPO)가 유출 원인이 된 접근통제 등 내부 관리계획의 이행 실태를 점검하는 업무도 소홀히 한 사실을 확인했다. 대교에 개인정보처리시스템의 안전조치를 강화하고 전반적인 유출사고 대응체계를 정비하라고 명령했다.
이날 전체회의에서는의료법인 영훈의료재단에도 과징금 6억 3000만 원이 부과됐다.
재단이 운영하는 대전선병원과 유성선병원 홈페이지에서는 2024년 3월 SQL 인젝션 취약점 공격으로 회원 18만8481명의 개인정보가 유출됐다. 해커는 홈페이지 회원의 아이디와 비밀번호, 이름, 휴대전화번호, 생년월일 등을 빼냈다.
개인정보위는 병원 안내와 게시판 이용, 예약 신청 등을 지원하는 홈페이지에 관행적으로 회원가입 기능을 두고 개인정보를 수집한 점을 확인했다. 웹 취약점 공격을 탐지·차단할 웹 방화벽을 설치·운영하지 않았고, SQL 인젝션 등 취약점 점검이나 입력값 검증 프로그램도 마련하지 않았다.
비밀번호를 저장할 때 안전하지 않은 암호 알고리즘을 쓰고 솔트값도 적용하지 않아 일부 비밀번호는 복호화가 가능했던 것으로 조사됐다. 개인정보위는 영훈의료재단에 과징금 6억3000만원을 부과하고 개인정보처리시스템의 취약점을 주기적으로 점검·개선하라고 시정명령했다.
개인정보위는 관계사와 연결된 서버나 주요 서비스의 운영을 보조하는 홈페이지도 개인정보 유출의 경로가 될 수 있다며, 관행적으로 수집하는 개인정보에 대한 현황 파악 및 안전조치 점검의 중요성을 강조했다.
아울러 홈페이지 회원가입 기능 등의 필요성을 검토하여 불필요한 개인정보가 수집되지 않도록 조치하고, 운영 중인 개인정보처리시스템 현황을 파악하여 웹셸이나 SQL 인젝션 같은 잘 알려진 웹 취약점 공격에 대비한 웹 취약점 점검, 이상행위 탐지 및 대응체계를 강화할 것을 당부했다.
