보안 허점 노출된 대교, 65만 명 개인정보 유출 사태
개인정보보호위원회는 개인정보 보호를 위한 안전성 확보 조치를 미흡하게 이행한 주식회사 대교와 의료법인 영훈의료재단에 대해 각각 32억 5500만 원과 6억 3000만 원의 과징금을 부과했다고 29일 발표했다.
조사 결과에 따르면 대교는 관계사의 웹 서버가 자사 온라인 교육 서비스인 '마카다미아'의 회원 데이터베이스(DB)와 직접 연결될 수 있도록 접근 권한을 열어두었다가 해킹을 당한 것으로 드러났다. 해커들은 관계사 홈페이지의 보안 취약점을 틈타 원격 조종용 악성 프로그램인 웹쉘을 업로드했으며, 2024년 8월과 2025년 2월에 걸쳐 악성코드를 실행했다. 이 과정에서 대교의 회원 DB에 대한 접근이 차단되지 않아 막대한 피해가 발생했다.
특히 대교는 1차 유출 사고 당시 보안관제업체로부터 이상 징후에 대한 탐지 알림을 받았음에도 불구하고, 정밀한 분석이나 차단 같은 후속 대응을 제대로 수행하지 않아 2차 사고를 막지 못한 것으로 밝혀졌다. 또한 대교의 개인정보보호책임자(CPO)가 유출 방지를 위한 관리 계획의 이행 상태를 점검해야 할 의무를 다하지 않은 점도 확인됐다. 이로 인해 약 65만 명의 이름과 생년월일, 휴대전화 번호, 연계정보(CI) 등이 외부로 유출됐다. 개보위는 대교에 과징금 부과와 더불어 시스템 안전조치 강화 및 대응체계 정비를 명령했으며, 처분 사실을 홈페이지에 공표하도록 시정명령을 내렸다.
영훈의료재단, 관행적 정보 수집과 취약한 암호화
영훈의료재단 역시 개인정보 보호 관리 부실로 과징금 대상에 포함됐다. 재단 측은 병원 예약이나 게시판 이용 등 운영 보조를 위한 홈페이지를 운영하면서, 관행적으로 회원 가입 기능을 도입해 개인정보를 수집해 온 것으로 조사됐다. 보안 측면에서도 웹 취약점 공격을 막아낼 방화벽을 설치하지 않았고, 취약점 점검 시스템 역시 제대로 구축하지 않은 상태였다.
비밀번호 관리 체계도 허술했다. 회원이 가입 시 입력한 비밀번호를 암호화하는 과정에서 안전성이 낮은 알고리즘을 사용했으며, 암호화 전 단계에서 솔트(Salt) 값을 추가하지 않아 일부 비밀번호는 누구나 복호화할 수 있는 수준이었다. 개보위는 주요 서비스 시스템뿐 아니라 관계사 연결 서버나 운영 보조용 홈페이지도 유출 경로가 될 수 있음을 확인했다며, 관행적인 개인정보 수집 현황을 파악하고 안전조치를 점검하는 것이 무엇보다 중요하다고 강조했다.