HD현대 계열사 보안 허점에 9503명 개인정보 유출…과징금·과태료 제재

HD한국조선해양 서버 취약점 뚫고 HD건설기계 내부망까지 침투

개인정보위, HD건설기계 7350만원·HD한국조선해양 480만원 부과

해당 이미지는 AI로 제작됨.

HD현대그룹 계열사들의 개인정보처리시스템 관리 부실로 임직원과 협력사 직원 9503명의 개인정보가 유출된 사실이 드러났다. 해커가 HD한국조선해양 서버의 취약점을 뚫은 뒤 업무상 연계가 필요하지 않았던 HD건설기계 내부 시스템까지 접근한 것으로 조사됐다.

개인정보보호위원회는 지난 26일 제17회 전체회의를 열고 개인정보 보호법상 안전조치 의무를 위반한 HD건설기계와 HD한국조선해양에 각각 과징금 7350만원과 과태료 480만원을 부과하기로 의결했다고 27일 밝혔다.

사고는 2024년 3월 발생했다. 신원 미상의 해커는 HD한국조선해양이 운영하는 모바일 기기 관리 서버의 파일 업로드 취약점을 이용해 웹 셸(Web Shell) 파일을 올렸다.

이후 해당 서버와 통신할 수 있던 HD건설기계 내부 업무용 시스템에 접속해 임직원과 협력사 직원의 성명, 사번 등 총 9503명의 개인정보를 빼냈다.

개인정보위 조사 결과 HD한국조선해양의 모바일 기기 관리 서버는 파일 업로드 취약점에 대한 안전조치가 충분하지 않아 해킹 경로로 악용됐다.

계열사 간 시스템 접근통제도 미흡했다. HD한국조선해양의 모바일 기기 관리 서버와 HD건설기계 내부 업무용 시스템은 업무상 서로 연결될 필요가 없었지만 양사 모두 시스템 사이 접근을 차단하지 않았다. 이 때문에 해커가 한 계열사의 서버를 발판 삼아 다른 계열사의 개인정보처리시스템까지 이동할 수 있었다.

개인정보위는 실제 개인정보가 유출된 HD건설기계에 과징금 7350만원을, 개인정보 유출 경로로 이용된 HD한국조선해양에는 과태료 480만원을 각각 부과했다. 두 회사 모두 개인정보 보호법 제29조의 안전조치 의무를 위반한 것으로 판단했다.

개인정보위는 이번 사고에 대해 "웹 취약점 관리와 계열사 간 접근통제 부실이 겹치면서 발생했다"며 "개인정보처리시스템의 보안대책을 정기적으로 점검하고 업무상 필요하지 않은 시스템 간 접근은 IP 제한 등을 통해 차단해야 한다"고 당부했다.

특히 하나의 취약한 시스템을 통해 다른 내부 시스템으로 침투 범위가 확대될 수 있는 만큼 개인정보를 직접 보관하지 않는 서버라도 내부망과 연결돼 있다면 접근통제를 강화해야 한다는 설명이다.