'65만명 개인정보 유출' 대교, 과징금 32.5억원 철퇴

[디지털데일리 김보민기자] 해킹 공격으로 65만명 개인정보를 유출한 대교에게 32억원대 과징금이 부과됐다.

29일 개인정보보호위원회는 전날 전체회의를 열고 개인정보 보호 법규를 위반한 주식회사 대교에게 과징금 32억5500만원과 시정명령 및 공표명령을 부과했다고 밝혔다.

개인정보위에 따르면 해커는 관계사 홈페이지 웹 취약점을 이용해 웹셸을 업로드하고 2024년 8월과 2025년 2월 악성코드를 실행했다. 이 공격으로 대교 온라인 교육 서비스 회원 65만명의 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등 개인정보가 유출됐다.

대교는 관계사 웹서버에서 자사 회원 데이터베이스(DB)로 직접 연결할 수 있는 불필요한 접근을 허용한 것으로 확인됐다. 2024년 8월 첫 유출 당시 보안관제업체로부터 이상행위 관련 보안탐지 안내를 받았으나 대응 조치를 방치해 2025년 2월 동일한 방식 유출이 반복됐다. 개인정보보호책임자(CPO) 역시 유출 방지를 위한 내부 관리계획 이행실태 점검을 누락했다.

한편 개인정보위는 법규를 위반한 영훈의료재단(대전선병원·유성선병원)에도 과징금 6억3000만 원과 시정명령을 부과했다. 분석 결과 해커는 2024년 3월 병원 홈페이지 내 SQL인젝션 취약점을 공격해 가입 회원 18만8481명 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등 개인정보를 탈취했다.

이 재단은 병원 운영을 보조하는 홈페이지를 운영하며 관행적으로 회원가입 기능을 구현해 개인정보를 수집 및 처리했다. 웹 방화벽을 설치하지 않았고 취약점 점검이나 입력값 검증 프로그램 구현도 누락했다. 회원 비밀번호를 암호화하면서 안전하지 않은 암호 알고리즘을 사용했고, 솔트 값 등을 적용하지 않아 일부 비밀번호는 복호화가 가능했다.

개인정보위는 홈페이지 회원가입 기능 필요성을 재검토해 불필요한 개인정보 수집을 막고, 취약점 점검과 이상행위 탐지 체계를 강화할 것을 당부했다.