개인정보유출 대교에 과징금 33억원…영훈의료재단도 6억3천만원

대교 65만명 유출…보안 경고받고도 대응 소홀해 추가 유출
영훈의료재단 병원 홈페이지서 18만8천여명 유출…비밀번호 암호화 부실

(서울=연합뉴스) 차민지 기자 = 개인정보보호위원회가 개인정보 보호 법규를 위반한 교육업체 대교와 의료법인 영훈의료재단에 총 38억8천500만원의 과징금을 부과했다.

개인정보위는 지난 28일 전체회의를 열고 두 사업자에 대한 과징금 부과와 시정명령 등을 의결했다고 29일 밝혔다.

대교에는 과징금 32억5천500만원과 시정명령, 공표명령을 부과했다.

조사 결과 해커는 관계사 홈페이지의 웹 취약점을 이용해 악성코드를 심은 뒤 2024년 8월과 지난해 2월 두 차례에 걸쳐 대교의 온라인 교육 서비스 '마카다미아' 회원 약 65만명의 개인정보를 유출했다.

유출된 정보에는 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등이 포함됐다.

대교는 관계사 웹서버에서 자사 회원 데이터베이스(DB)에 직접 접근할 수 있도록 불필요한 연결을 허용한 것으로 조사됐다.

특히 2024년 8월 첫 유출 당시 보안관제업체로부터 이상행위 탐지 사실을 안내받고도 상세 분석이나 차단 등 적절한 대응 조치를 하지 않아 지난해 2월 동일한 방식의 유출 사고가 재발했다.

대교 개인정보보호책임자(CPO) 역시 접근통제 등 개인정보 유출 방지를 위한 내부 관리계획의 이행 실태를 제대로 점검하지 않은 것으로 확인됐다.

개인정보위는 대교에 개인정보처리시스템의 안전조치를 강화하고 유출 사고 대응체계를 정비하도록 시정 명령했다. 처분 사실을 홈페이지에 공표하도록 하는 명령도 내렸다.

대전선병원과 유성선병원을 운영하는 영훈의료재단에는 과징금 6억3천만원과 시정명령을 부과했다.

영훈의료재단은 2024년 3월 병원 홈페이지의 보안 취약점을 악용한 해킹으로 회원 18만8천481명의 아이디, 비밀번호, 이름, 휴대 전화번호, 생년월일 등이 유출됐다.

조사 결과 재단은 병원 안내와 예약 신청 등을 위한 홈페이지에 관행적으로 회원가입 기능을 운영하면서도 웹 방화벽을 설치하지 않는 등 기본적인 보안 조치를 소홀히 한 것으로 나타났다.

또한 SQL 인젝션(데이터베이스 조회 등을 위해 사용하는 프로그램 언어) 등 웹 취약점을 점검하거나 홈페이지 입력값을 검증하는 조치도 하지 않았다.

회원 비밀번호를 암호화하는 과정에서도 안전하지 않은 알고리즘을 사용하고 솔트값(암호화 과정에서 사용하는 임의의 값)을 적용하지 않아 일부 비밀번호는 암호가 풀린 복호화가 가능한 상태였던 것으로 확인됐다.

개인정보위는 영훈의료재단에 개인정보 처리시스템의 취약점을 주기적으로 점검하고 개선하도록 시정 명령했다.

개인정보위는 이번 조사에서 주요 서비스뿐 아니라 관계사와 연결된 서버나 보조적인 홈페이지도 개인정보 유출 경로가 될 수 있다는 점을 확인했다고 설명했다.

이어 불필요한 개인정보 수집을 최소화하고 웹 취약점 점검과 이상행위 탐지·대응체계를 강화할 것을 당부했다.

chacha@yna.co.kr

▶제보는 카톡 okjebo

정치