두 차례 해킹에 무너진 대교의 보안망
교육 기업 대교가 두 차례에 걸친 해킹 사고로 약 65만 명의 개인정보를 유출한 사실이 드러나 32억 5,500만 원의 과징금을 부과받았다. 개인정보보호위원회는 지난 28일 제21회 전체회의를 소집하여, 개인정보 보호법상 요구되는 안전조치 의무를 이행하지 않은 대교와 의료법인 영훈의료재단에 대해 과징금 부과 및 시정명령을 내렸다고 밝혔다. 대교는 2024년 8월과 2025년 2월, 두 번의 침입 사고를 겪었으며, 관계사 웹서버와 회원 데이터베이스 간의 접근 통제가 제대로 이루어지지 않은 상태였다.
조사 결과에 따르면, 신원을 알 수 없는 해커는 관계사 홈페이지의 웹 취약점을 파고들어 웹셸을 설치한 뒤 악성코드를 실행했다. 이 과정에서 대교의 온라인 교육 서비스인 ‘마카다미아’ 회원의 성명, 생년월일, 휴대전화번호, 연계정보(CI) 등이 유출되었다. 특히 대교는 2024년 8월 첫 유출 당시 보안관제업체로부터 이상 징후를 통보받았음에도 불구하고, 상세한 분석이나 차단 조치와 같은 실질적인 대응을 하지 않았다. 이로 인해 6개월 뒤 동일한 수법의 공격이 반복되며 2차 유출이 발생했다. 개인정보위는 대교가 내부 관리계획 이행 실태 점검을 소홀히 했다고 판단하여, 개인정보처리시스템의 안전조치 강화와 사고 대응 체계 정비를 명령했다.
영훈의료재단, 취약한 암호화로 18만 명 정보 노출
의료법인 영훈의료재단(대전선병원, 유성선병원) 역시 보안 관리 미흡으로 인해 6억 3,000만 원의 과징금 처분을 받았다. 재단이 운영하는 대전선병원과 유성선병원의 홈페이지는 2024년 3월 SQL 인젝션 공격을 받아 회원 18만 8,481명의 정보가 빠져나갔다. 유출된 데이터에는 회원의 아이디와 비밀번호를 비롯해 이름, 연락처, 생년월일 등이 포함되었다.
영훈의료재단은 병원 안내나 예약 기능을 위해 관행적으로 회원가입 기능을 운영하며 불필요하게 개인정보를 수집해 온 것으로 확인되었다. 또한 웹 공격을 막아낼 방화벽을 설치하지 않았으며, 인젝션 공격 등에 대비한 입력값 검증 프로그램이나 취약점 점검 체계도 갖추지 못했다. 특히 비밀번호 저장 시 안전하지 않은 알고리즘을 사용하고 솔트(Salt)값을 적용하지 않아, 일부 비밀번호는 복호화를 통해 원본을 확인할 수 있는 심각한 보안 허점이 발견되었다. 개인정보위는 재단에 시스템 취약점을 주기적으로 점검하고 개선할 것을 시정명령했다.
개인정보 유출 경로 차단을 위한 경고
개인정보보호위원회는 관계사 연결 서버나 보조 서비스용 홈페이지가 개인정보 유출의 주요 경로가 될 수 있다는 점을 재차 강조했다. 관행적인 개인정보 수집 현황을 면밀히 파악하고 이에 따른 안전조치를 점검하는 것이 무엇보다 중요하다는 지적이다. 아울러 홈페이지의 회원가입 기능이 반드시 필요한지 재검토하여 불필요한 정보 수집을 차단할 것을 당부했다. 또한 웹셸이나 인젝션처럼 이미 알려진 웹 취약점 공격에 대비해, 이상행위를 탐지하고 즉각 대응할 수 있는 체계를 강화해야 한다고 덧붙였다.