개인정보위, 대교·선병원 운영재단에 38.9억 과징금

[아이뉴스24 최효경 기자] 개인정보보호위원회는 개인정보 안전조치 의무를 소홀히 해 정보 유출 사고를 낸 대교와 의료법인 영훈의료재단에 총 38억 8500만원의 과징금을 부과했다고 29일 밝혔다.

개인정보위는 지난 28일 제21회 전체회의에서 두 사업자에 대한 과징금과 시정명령을 의결했다. 대교에는 처분 사실 공표 명령도 내렸다. 대교는 관계사 홈페이지의 파일 업로드 취약점을 악용한 공격으로 2024년 8월과 지난해 2월 두 차례 개인정보를 유출했다.

해커는 웹 서버에 악성코드를 심는 웹셸 공격을 통해 관계사 서버와 연결된 온라인 교육 서비스 '마카다미아' 회원 데이터베이스(DB)에 접근했다. 이 과정에서 약 65만명의 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등이 유출됐다.

개인정보위 조사 결과 대교는 관계사 웹 서버에서 회원 DB로 직접 연결할 수 있는 불필요한 접근 권한을 허용했다. 첫 유출 당시 보안관제업체로부터 이상행위 탐지 안내를 받고도 상세 분석과 차단 조치를 충분히 하지 않아, 동일한 방식의 침해가 반복된 것으로 조사됐다. 개인정보위는 대교에 32억 5500만원의 과징금을 부과하고 접근통제 강화와 유출사고 대응체계 정비를 명령했다.

대전선병원과 유성선병원을 운영하는 영훈의료재단은 지난 2024년 3월 병원 홈페이지의 SQL 인젝션 취약점 공격으로 회원 18만 8481명의 개인정보를 유출했다. SQL 인젝션은 홈페이지 입력창에 데이터베이스 명령어를 삽입해 정보를 빼내는 공격 방식이다.

유출 정보에는 아이디와 비밀번호, 이름, 휴대전화번호, 생년월일 등이 포함됐다. 재단은 병원 안내와 예약 신청 등을 위한 홈페이지에 관행적으로 회원가입 기능을 두고 개인정보를 수집했지만, 웹 방화벽 설치·운영과 웹 취약점 점검, 입력값 검증 프로그램 구현 등을 하지 않은 것으로 조사됐다.

개인정보위는 "주요 서비스뿐 아니라 관계사 서버나 운영 보조용 홈페이지도 개인정보 유출 경로가 될 수 있다며, 불필요한 회원가입 기능을 재검토하고 웹 취약점 점검과 이상행위 탐지·대응체계를 강화해야 한다"고 당부했다.