"뚫리고 또 뚫렸다"…보안 경고 무시하다 65만명 개인정보 날린 대교, 32억 과징금 제재

[서울=뉴시스]박은비 기자 = 해커의 침투를 막는 보안 관리를 허술하게 한 대교와 영훈의료재단이 정부로부터 총 38억원이 넘는 과징금 제재를 받았다.

대교는 개인정보가 한 번 유출된 뒤 똑같은 수법으로 또다시 털려 32억원대 과징금을 물게 됐다. 영훈의료재단은 홈페이지에 기초적인 웹 방화벽조차 설치하지 않은 채 회원 정보를 모으다가 6억원대 과징금을 내게 됐다.

개인정보보호위원회는 지난 28일 제21회 전체회의를 열고 개인정보 보호법상 안전조치 의무를 어긴 대교에 과징금 32억5500만원을 부과하기로 의결했다고 29일 밝혔다. 함께 안건에 오른 영훈의료재단에는 과징금 6억3000만원이 매겨졌다.

개인정보위는 대교에 개인정보 시스템의 보안을 강화하고 유출 사고 대응 체계를 전면 재정비하라고 명령했다. 사업자 홈페이지에는 이번 제재 사실을 신속히 공표하도록 했다.

대교에는 개인정보처리시스템에 대한 안전조치 강화와 전반적인 유출사고 대응체계 정비와 함께 사업자 홈페이지에 처분받은 사실을 공표하라고 명령했다. 대전선병원과 유성선병원을 운영하는 영훈의료재단에도 주기적인 보안 취약점 점검과 개선 조치를 이행하라고 명령했다.

대교는 지난 2024년 8월과 지난해 2월 두차례에 걸쳐 온라인 교육 서비스 회원 데이터베이스(DB)에서 65만명의 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등 개인정보 유출 사고가 발생했다.

해커는 대교 관계사 홈페이지의 웹 취약점을 이용해 실행 가능한 악성코드를 삽입·실행해 관리자 권한을 획득, 개인정보를 탈취하는 웹셸 공격을 감행했다.

대교는 관계사 웹서버에서 대교 회원 DB로 직접 연결할 수 있는 불필요한 접근을 허용해 피해를 키운 것으로 확인됐다. 이와 함께 첫 유출 발생시 보안관제업체로부터 이상행위 관련 보안탐지 안내를 받고도 대응 조치를 제대로 하지 않아 동일한 방식의 유출이 또 발생했다는 게 개인정보위 판단이다.

대전선병원, 유성선병원을 운영하는 의료법인 영훈의료재단은 2024년 3월 병원 홈페이지 회원으로 가입한 18만8481명 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등 개인정보가 유출됐다.

개인정보위는 영훈의료재단이 병원 안내, 게시판 이용, 예약 신청 등 병원 운영을 보조하는 홈페이지를 운영하면서 관행적으로 회원 가입 기능을 구현해 개인정보를 수집·처리했다고 봤다.

특히 웹 취약점 공격을 탐지·차단할 수 있는 웹 방화벽을 설치하지 않고 SQL 인젝션 등 웹 취약점 점검을 소홀히 했다고 결론내렸다. SQL은 웹사이트 입력 칸에 정상적인 값 대신 데이터베이스 명령어를 입력해 결과를 조회하는 취약점을 말한다.

또 회원이 병원 홈페이지 회원가입시 입력한 비밀번호를 암호했지만 안전하지 않은 암호 알고리즘을 사용했고, 일부 비밀번호의 경우 복호화가 가능한 사실도 확인됐다.

개인정보위 관계자는 "이번 처분은 주요 서비스뿐 아니라 관계사와 연결된 서버나 주요 서비스 운영을 보조하는 홈페이지도 개인정보 유출 경로가 될 수 있음을 확인하고, 관행적으로 수집하는 개인정보 현황 파악과 안전조치 점검 중요성을 강조하는 것"이라며 "웹셸이나 SQL 인젝션 같은 잘 알려진 웹 취약점 공격에 대비한 웹 취약점 점검, 이상행위 탐지 및 대응체계를 강화해달라"고 당부했다.


◎공감언론 뉴시스 [email protected]