해킹에 무너진 보안망, 대교에 내려진 중징계
해킹 공격으로 인해 약 65만 명에 달하는 고객의 개인정보가 외부로 유출된 교육 기업 대교에 대해 32억 원이 넘는 막대한 과징금이 부과됐다. 개인정보보호위원회는 지난 28일 전체회의를 개최한 뒤, 개인정보 보호 관련 법규를 준수하지 않은 주식회사 대교를 대상으로 32억 5,500만 원의 과징금과 함께 시정명령 및 공표명령을 내렸다고 29일 발표했다.
개인정보보호위원회의 조사 결과에 따르면, 해커들은 관계사 웹사이트의 취약점을 파고들어 웹셸을 업로드한 뒤 2024년 8월과 2025년 2월에 걸쳐 악성코드를 구동했다. 이러한 침입을 통해 대교의 온라인 교육 서비스를 이용하는 회원 65만 명의 성명과 생년월일, 휴대전화 번호, 그리고 연계정보(CI) 등이 유출된 것으로 드러났다.
방치된 보안 위협과 관리 부실의 결과
사고의 원인으로는 대교의 허술한 시스템 구조가 지목됐다. 대교는 관계사 웹서버가 자사 회원 데이터베이스(DB)로 직접 연결될 수 있도록 불필요한 접근 경로를 열어둔 상태였다. 특히 2024년 8월 최초 유출 사고가 발생했을 당시, 보안관제업체로부터 이상 징후에 대한 탐지 안내를 받았음에도 불구하고 적절한 대응을 하지 않고 방치했다. 이로 인해 2025년 2월, 동일한 경로를 통한 2차 유출이 반복되는 사태를 초래했다. 아울러 개인정보보호책임자(CPO) 또한 유출 사고를 미연에 방지해야 할 내부 관리계획의 이행 실태 점검을 제대로 수행하지 않은 것으로 확인됐다.
의료재단 보안 허점도 적발, 6억 원대 과징금
개인정보보호위원회는 이번 조사에서 영훈의료재단(대전선병원 및 유성선병원)에 대해서도 6억 3,000만 원의 과징금과 시정명령을 함께 부과했다. 조사 결과, 해커는 2024년 3월 병원 홈페이지의 SQL 인젝션 취약점을 공략해 가입 회원 18만 8,481명의 아이디와 비밀번호, 성명, 연락처, 생년월일 등 민감한 개인정보를 탈취한 것으로 밝혀졌다.
해당 재단은 병원 운영 지원을 위한 홈페이지를 운영하며 관행적으로 회원가입 기능을 도입해 개인정보를 수집해 왔다. 그러나 웹 방화벽을 구축하지 않았으며, 입력값 검증 프로그램 구현이나 정기적인 취약점 점검도 이루어지지 않았다. 보안 조치 측면에서도 비밀번호 암호화 시 안전성이 낮은 알고리즘을 사용하고 솔트(Salt) 값을 적용하지 않아, 일부 비밀번호가 쉽게 복호화될 수 있는 취약한 상태였다. 이에 개인정보보호위원회는 불필요한 개인정보 수집을 방지하기 위해 회원가입 기능의 필요성을 재검토하고, 이상행위 탐지 체계와 취약점 점검을 강화할 것을 강력히 권고했다.