개인정보위, 대교·영훈의료재단에 과징금 39억원

개인정보보호위원회가 개인정보 유출 사고를 일으킨 대교와 영훈의료재단에 총 38억8500만원의 과징금을 부과했다. 보안 위협을 탐지하고도 적절히 대응하지 않거나 웹사이트의 취약점을 방치해 대규모 개인정보 유출로 이어진 것으로 드러났다.

개인정보위는 개인정보 보호법상 안전조치 의무를 위반한 대교와 영훈의료재단에 각각 32억5500만원, 6억3000만원의 과징금을 부과하고 시정명령을 내린다고 29일 밝혔다.

대교는 관계사 홈페이지의 웹 취약점을 악용한 공격으로 약 65만명의 개인정보가 유출됐다. 해커는 관계사 웹서버에 웹셸을 설치하고 2024년 8월과 2025년 2월 두 차례 악성코드를 실행해 대교 온라인 교육 서비스 '마카다미아' 회원의 이름과 생년월일, 휴대전화번호, 연계정보(CI) 등을 탈취했다.

조사 결과 대교는 관계사 웹서버에서 회원 데이터베이스(DB)에 직접 접근할 수 있도록 불필요한 연결을 허용했다.

특히 첫 유출 당시 보안관제업체로부터 이상행위 탐지 사실을 통보받고도 상세 분석과 차단 등 대응 조치를 소홀히 해 동일한 방식의 유출이 반복됐다. 개인정보보호책임자(CPO)의 내부 관리계획 이행 점검도 미흡했던 것으로 확인됐다.

영훈의료재단은 지난 2024년 3월 병원 홈페이지의 SQL 인젝션 취약점을 악용한 공격으로 회원 18만8481명의 개인정보가 유출됐다.

SQL 인젝션은 웹사이트 입력값을 통해 악의적인 데이터베이스 명령어를 실행하도록 유도하는 공격 기법이다. 유출된 개인정보에는 아이디와 비밀번호, 이름, 휴대전화번호, 생년월일 등이 포함됐다.

영훈의료재단은 홈페이지에 웹방화벽을 설치·운영하지 않고 웹 취약점 점검과 입력값 검증도 수행하지 않았다. 비밀번호 암호화에 안전하지 않은 알고리즘을 사용하고 솔트(Salt) 값도 적용하지 않아 일부 비밀번호는 복호화가 가능한 상태였다.

개인정보위는 주요 서비스뿐 아니라 관계사 서버와 보조 홈페이지도 개인정보 유출 경로가 될 수 있다고 지적했다. 불필요한 회원가입 기능을 재검토하고 웹 취약점 점검과 이상행위 탐지·대응체계를 강화할 것을 당부했다.

박진형 기자 jin@etnews.com