개인정보 유출 경고 받고 또 뚫린 대교…개보위 과징금 32억5500만원 부과

대교 회원 약 65만명 정보 유출…관계사 서버 통한 접근 방치

영훈의료재단에도 6억3000만원…18만여명 정보 유출·비밀번호 보호 부실

송경희 개인정보보호위원장이 28일 정부서울청사에서 개최된 제21회 전체회의에서 의사봉을 두드리고 있다.ⓒ개인정보보호위원회

교육기업 대교가 개인정보 유출 징후를 통보받고도 대응을 소홀히 해 같은 방식의 해킹을 다시 당한 것으로 드러났다. 병원 홈페이지의 보안 취약점과 부실한 비밀번호 관리로 회원 정보가 유출된 영훈의료재단도 제재를 받았다.

개인정보보호위원회는 지난 28일 전체회의에서 안전조치 의무를 위반한 대교와 영훈의료재단에 총 38억8500만원의 과징금을 부과하기로 의결했다고 29일 밝혔다.

대교에는 과징금 32억5500만원과 시정명령, 처분 사실 공표명령을 내렸다. 해커는 관계사 홈페이지의 파일 업로드 취약점을 이용해 서버에서 실행할 수 있는 악성코드인 웹셸을 심었다. 이후 2024년 8월과 2025년 2월 두 차례 공격으로 대교 온라인 교육 서비스 '마카다미아' 회원 약 65만명의 이름과 생년월일, 휴대전화번호, 연계정보(CI) 등을 빼냈다.

조사 결과 대교는 관계사 웹서버에서 자사 회원 데이터베이스로 직접 연결할 수 있는 불필요한 접근을 허용했다. 첫 유출 당시 보안관제업체로부터 이상행위 탐지 안내를 받고도 상세 분석과 차단 등 대응을 소홀히 해 같은 방식의 유출이 반복됐다.

개인정보보호책임자가 접근통제 등 내부 관리계획의 이행 실태를 제대로 점검하지 않은 사실도 확인됐다. 개인정보위는 대교에 안전조치를 강화하고 유출사고 대응체계를 정비하도록 명령했다.

대전선병원과 유성선병원을 운영하는 영훈의료재단에는 과징금 6억3000만원과 시정명령을 부과했다. 재단은 2024년 3월 병원 홈페이지의 SQL 인젝션 공격으로 회원 18만8481명의 아이디와 비밀번호, 이름, 휴대전화번호, 생년월일 등이 유출됐다. SQL 인젝션은 웹사이트 입력란에 데이터베이스 명령어를 넣어 정보를 빼내는 공격이다.

재단은 홈페이지에 웹 방화벽 등을 설치·운영하지 않았고, 취약점 점검과 입력값 검증도 하지 않았다. 비밀번호에는 안전하지 않은 암호 알고리즘을 적용했으며, 보안성을 높이는 임의의 값인 '솔트'도 사용하지 않아 일부 비밀번호를 복원할 수 있었던 것으로 조사됐다.

개인정보위는 병원 안내와 게시판, 예약신청 등 운영을 보조하는 홈페이지에서도 관행적으로 회원가입 기능을 두고 개인정보를 수집한 점을 짚었다. 재단에는 주기적인 취약점 점검과 개선 조치를 명령했다.

개인정보위는 주요 서비스뿐 아니라 관계사 연결 서버와 보조 홈페이지도 유출 경로가 될 수 있다고 강조했다. 회원가입 기능의 필요성을 재검토해 불필요한 개인정보 수집을 줄이고, 웹 취약점 점검과 이상행위 탐지·대응체계를 강화할 것을 당부했다.