보안 관제 경고 무시한 대교, 반복된 해킹에 32억 과징금
교육 전문 기업 대교가 해킹 공격을 허용해 약 65만 명의 개인정보가 외부로 유출된 사실이 드러났다. 특히 대교는 1차 유출 사고 당시 보안관제업체로부터 이상 징후에 대한 탐지 안내를 받았음에도 불구하고, 이를 차단하거나 상세히 분석하는 등 적절한 후속 조치를 취하지 않은 것으로 밝혀져 비판을 받고 있다.
개인정보보호위원회는 지난 29일, 개인정보 보호법상 요구되는 안전조치 의무를 이행하지 않은 대교와 의료법인 영훈의료재단에 대해 각각 32억 5500만 원과 6억 3000만 원의 과징금을 부과했다고 발표했다. 두 기관에 내려진 과징금 총액은 38억 8500만 원 규모다. 위원회는 이들에게 시정명령을 내리는 동시에, 대교에 대해서는 이번 처분 내용을 홈페이지에 게시하도록 하는 공표명령도 함께 집행했다.
웹셸 공격에 뚫린 대교, 불필요한 데이터베이스 연결이 화근
대교는 한 차례의 정보 유출 사고를 겪고도 동일한 공격 경로를 방치해 재차 피해를 입었다. 해커는 대교 관계사 웹사이트의 보안 취약점을 파고들어 시스템 내에서 동작하는 악성코드인 '웹셸(WebShell)'을 심었다. 이를 통해 관계사 웹서버와 연결된 대교의 온라인 교육 플랫폼 '마카다미아'의 회원 데이터베이스(DB)까지 침투했다.
이러한 공격으로 인해 2024년 8월과 지난해 2월, 두 차례에 걸쳐 약 65만 명의 이름과 생년월일, 휴대전화번호, 연계정보(CI/DI) 등이 탈취되었다. 웹셸은 파일 업로드 기능 등의 취약점을 악용해 서버에 침투하는 방식이다. 조사 결과, 대교는 관계사 서버에서 핵심 회원 DB로 직접 접속할 수 있는 불필요한 접근 경로를 허용하고 있었던 것으로 확인되었다.
또한 2024년 8월 첫 유출 당시 보안관제업체의 탐지 알림을 받았으나, 실질적인 차단 조치를 수행하지 않아 지난해 2월 같은 수법의 재공격을 허용했다. 개인정보보호책임자(CPO) 역시 내부 관리계획에 따른 접근통제 점검을 소홀히 했다는 지적을 받았다.
병원 보조 홈페이지의 취약점, 18만 명 개인정보 유출로 이어져
의료법인 영훈의료재단 산하의 대전선병원과 유성병원에서도 약 18만 8481명의 회원 정보가 유출되는 사고가 발생했다. 해커는 2024년 3월, 병원 홈페이지의 'SQL 인젝션' 취약점을 이용해 아이디, 비밀번호, 성명, 연락처, 생년월일 등을 빼냈다. SQL 인젝션은 입력창에 조작된 명령어를 입력해 데이터베이스를 통제하는 공격 기법이다.
영훈의료재단은 병원 예약 및 게시판 운영을 위해 보조 홈페이지에 회원가입 기능을 두었으나, 웹 공격을 막아낼 방화벽을 설치하지 않았으며 알려진 취약점에 대한 정기 점검도 수행하지 않았다. 특히 입력값이 악성 명령어인지 검증하는 프로그램조차 갖추지 못한 상태였다.
비밀번호 보안 체계도 허술했다. 안전성이 낮은 암호화 알고리즘을 사용했을 뿐만 아니라, 동일한 비밀번호가 같은 값으로 저장되는 것을 방지하는 '솔트(Salt)' 값도 적용하지 않았다. 이로 인해 일부 회원의 비밀번호는 복호화가 가능한 수준으로 관리되었다.
최근에는 관계사 서버나 보조용 홈페이지가 전체 시스템의 침투 경로가 되는 사례가 빈번해지고 있다. 대교는 관계사 서버와 핵심 DB 사이의 불필요한 연결을 방치했고, 영훈의료재단은 병원 운영 보조용 사이트에서 무분별하게 개인정보를 수집했다. 이에 개인정보위는 기업들이 관리 시스템을 전수 조사하고, 불필요한 정보 수집을 최소화하며, 웹 취약점 점검과 실질적인 대응 체계를 강화할 것을 권고했다.