관리자 계정 해킹에 무방비…하스·바텍엠시스에 과징금 1.8억원

개보위 제재…하스 과징금 1.3억·바텍엠시스 과징금 5천500만원

(서울=연합뉴스) 차민지 기자 = 개인정보보호위원회는 전날 전체회의를 열고 관리자 계정 탈취로 고객 정보를 유출한 의료기기 제조·판매 업체 하스와 바텍엠시스에 총 1억8천820만원의 과징금을 부과했다고 27일 밝혔다.

하스는 관리자 계정을 획득한 해커가 관리자 페이지에 접속해 733명의 개인정보를 탈취한 뒤 다크웹에 게시하는 사고가 발생했다. 유출된 정보는 이름, 이메일, 휴대전화 번호, 직장명, 직업 등이다.

개인정보위 조사 결과 하스는 외부에서 관리자 페이지 접속이 가능하도록 운영하면서도 아이디와 비밀번호 외 추가 인증수단을 적용하지 않았고, 관리자 페이지 접속기록도 보관하지 않은 것으로 드러났다.

또한 한국인터넷진흥원(KISA)으로부터 다크웹 게시 사실을 여러 차례 통보받고도 유출 신고 및 통지 조치를 지연했다.

이에 따라 개인정보위는 하스에 과징금 1억3천300만원, 과태료 780만원을 부과하고 홈페이지 공표를 명령했다.

바텍엠시스에서는 해커가 관리자 계정을 획득해 9천637명의 개인정보를 다운로드하는 사고가 발생했다. 유출된 정보는 아이디, 이름, 이메일, 생년월일, 휴대전화 번호, 주소, 성별 등이다.

바텍엠시스는 다수의 개인정보취급자가 관리자 권한이 부여된 하나의 계정을 공유해 사용했다.

또 외부 접속을 허용하면서도 추가 인증수단을 적용하지 않았고, 접속기록 점검도 소홀히 한 것으로 확인됐다.

개인정보위는 바텍엠시스에 과징금 5천520만원을 부과하고 홈페이지 공표를 명령했다.

개인정보위에 따르면 관리자 페이지 비정상 접속에 의한 사고는 올해 해킹 신고 유형 중 가장 높은 비중을 차지하고 있다.

개인정보위는 관리자 페이지 접속 권한을 IP 주소 등으로 제한하고, 외부 접속 시 일회용 비밀번호(OTP), 인증서, 보안토큰 등 추가 인증 수단 적용이 필수적이라고 강조했다.

개인정보위는 이번 조사 결과를 바탕으로 '관리자 페이지를 통한 개인정보 유출 예방 방안'을 관련 협회·단체와 공유하고 지속적으로 안내할 계획이다.

chacha@yna.co.kr

▶제보는 카톡 okjebo

IT/과학