개인정보위, '개인정보 유출' 대교에 과징금 33억원 부과

▲송경희 개인정보보호위원회 위원장이 정부서울청사에서 개최된 제21회 위원회 전체회의를 진행하고 있다. (사진제공=개인정보보호위원회)

개인정보보호위원회가 교육 서비스 기업 대교에 개인정보 안전조치 위반으로 32억원의 과징금을 부과했다.

개인정보보호위원회(개인정보위)는 28일 전체회의를 열고, 개인정보 보호 법규를 위반한 대교와 의료인 영훈의료재단에 대해 총 38억8500만원 규모의 과징금을 부과하고 시정명령 및 공표명령을 하기로 의결했다고 밝혔다.

조사에 따르면, 신원 미상의 해커는 대교 관계사 홈페이지의 웹 취약점을 이용해 웹셸을 업로드하고, 2024년 8월과 2025년 2월 두 차례에 걸쳐 악성코드를 실행한 것으로 파악됐다. 웹셸 공격은 파일 업로드 취약점을 통해 시스템에서 실행가능한 악성코드를 삽입 및 실행해 관리자 권한을 획득하고 개인정보를 탈취하는 등의 공격 기법이다. 해커는 이를 통해 관계사 웹서버와 연동된 대교의 온라인 교육 서비스 회원 데이터베이스(DB)에서 약 65만명의 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등 개인정보를 유출했다.

특히 대교는 관계사 웹서버에서 대교 회원 DB로 직접 연결할 수 있는 불필요한 접근을 허용하고 있었다. 또 2024년 8월 첫 유출 발생 당시 보안관제업체로부터 이상행위와 관련된 보안탐지 안내를 받았지만, 상세 분석·차단 등 불법적인 개인정보 유출시도에 대한 탐지와 대응 조치를 소홀히 했다. 이에 2025년 2월 동일한 방식의 접근 및 유출이 다시 발생했다.

또 대교의 개인정보보호책임자(CPO)가 이번 유출사고의 원인이 된 접근통제 사항 등 개인정보 유출 방지를 위한 내부 관리계획의 이행실태 점검을 소홀히 한 사실도 확인됐다.

개인정보위는 대교에 32억5500만원 규모의 과징금을 부과하고, 개인정보처리시스템에 대한 안전조치 강화 및 전반적인 유출사고 대응체계를 정비할 것을 시정명령했다.

의료법인 영훈의료재단에도 6억3000만원 규모의 과징금을 부과하고 주기적인 취약점 점검 및 개선 조치 이행을 시정명령했다. 개인정보위 조사에 따르면 영훈의료재단은 병원 안내, 게시판 이용, 예약신청 등 병원 운영을 보조하는 홈페이지를 운영하면서 회원가입 기능을 통해 개인정보를 수집‧처리했다. 또 웹 취약점 공격 등을 탐지‧차단할 수 있는 웹 방화벽 등을 설치‧운영하지 않은 것으로 확인됐다. 웹 취약점을 점검하거나, 홈페이지 내 입력값을 검증할 수 있는 프로그램도 구현하지 않았다. 또 회원이 병원 홈페이지 회원가입 시 입력한 비밀번호를 암호화하면서 안전하지 않은 암호 알고리즘을 사용하고, 일부 비밀번호의 경우 복호화가 가능한 것으로 파악됐다.

개인정보위는 "주요 서비스를 제공하는 시스템뿐 아니라 관계사와 연결된 서버나 주요 서비스의 운영을 보조하는 홈페이지도 개인정보 유출의 경로가 될 수 있다"며 "관행적으로 수집하는 개인정보에 대한 현황 파악 및 안전조치 점검의 중요성을 강조했다"고 설명했다. 보안 위협을 탐지하고도 적절히 대응하지 않거나 내부 관리계획 이행 여부를 점검하지 않으면 동일한 방식의 개인정보 유출이 반복될 수 있다는 점도 재차 강조했다.