개보위, 무방비로 개인정보 65만건 털린 대교에 과징금 32억원 부과

개인정보보호위원회는 개인정보 유출 과정에서 안전조치를 제대로 하지 않은 주식회사 대교와 의료법인 영훈의료재단에 각각 32억5500만원, 6억3000만원의 과징금을 부과했다고 29일 밝혔다.

개보위 조사 결과 대교는 관계사 웹 서버에서 대교의 온라인 교육서비스 마카다미아의 회원 데이터베이스로 직접 연결할 수 있도록 접근을 허용하고 있다가 개인정보 유출을 당한 것으로 나타났다.

해커가 관계사 홈페이지의 취약점을 이용해 웹쉘(원격조종 악성 프로그램)을 업로드하고 2024년 8월과 2025년 2월 악성코드를 실행했는데 접근이 차단되지 않은 대교의 회원 데이터베이스에도 영향을 미친 것이다.

대교는 첫 유출사고 때 보안관제업체로부터 이상행위와 관련된 보안탐지 안내를 받았지만, 상세 분석과 차단 등 대응조치를 소홀히 해 두번째 사고를 당했다고 개보위는 설명했다.

대교의 개인정보보호책임자(CPO)는 개인정보 유출 방지를 위한 관리계획 이행실태 점검을 제대로 하지 않은 것으로 조사됐다. 대교에서는 약 65만명의 이름, 생년월일, 휴대전화 번호, 연계정보(CI) 등이 유출됐다.

개보위는 대교에 과징금 부과와 함께 개인정보처리시스템에 대한 안전조치를 강화하고 대응체계를 정비할 것을 시정명령하고, 홈페이지에 처분 사실을 공표하도록 명령했다.

영훈의료재단은 병원 안내, 게시판 이용, 예약신청 등 병원 운영을 보조하는 홈페이지를 운영하면서 관행적으로 회원 가입 기능을 적용해 개인정보를 수집·처리한 것으로 조사됐다. 웹 취약점 공격을 탐지·차단할 수 있는 방화벽을 설치하지 않았고, 취약점을 점검하는 시스템을 제대로 구현하지 않았다.

또 회원이 병원 홈페이지에 회원가입할 때 입력한 비밀번호를 암호화하면서 안전하지 않은 알고리즘을 사용하고, 암호화 전에 솔트 값을 추가하지 않아 일부 비밀번호는 복호화가 가능했던 것으로 나타났다.

개보위는 “주요 서비스를 제공하는 시스템 뿐 아니라 관계사와 연결된 서버나 주요 서비스의 운영을 보조하는 홈페이지도 개인정보 유출 경로가 될 수 있음을 확인했다”며 “관행적으로 수집하는 개인정보에 대한 현황 파악 및 안전조치 점검의 중요성을 강조했다”고 밝혔다.