영훈의료재단도 18만명 개인정보 유출…과징금 6억3000만원

보안 경고를 받고도 적절한 안전조치를 하지 않아 두 차례에 걸쳐 개인 정보가 유출된 주식회사 대교가 과징금 32억원을 물게 됐다. 

개인정보보호위원회는 28일 전체회의에서 ‘개인정보보호법’을 위반한 대교에 과징금 32억5500만원을 부과했다고 29일 밝혔다. 

송경희 개인정보보호위원회 위원장이 28일 서울 종로구 정부서울청사에서 열린 제21회 전체회의에서 발언하고 있다. 연합

개인정보위에 따르면 해커는 관계사 홈페이지의 보안상 허점을 이용해 웹셸을 업로드한 뒤 2024년 8월과 2025년 2월 두 차례 악성코드를 실행했다. 이를 통해 관계사 웹서버와 연동된 대교의 온라인 교육 서비스 회원 데이터베이스(DB)에서 약 65만 명의 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등을 빼냈다.

조사 결과 대교는 2024년 첫 유출 사고 당시 보안관제업체로부터 이상 행위와 관련된 탐지 안내를 받았다. 그러나 상세 분석과 차단 등 대응 조치를 소홀히 한 것으로 나타났다. 결국 이듬해 같은 방식으로 개인 정보가 다시 유출됐다.  

대교는 관계사 웹서버에서 회원 DB에 연결할 수 있도록 불필요한 접근도 허용한 사실도 드러났다. 개인정보보호책임자(CPO)는 개인정보 유출 방지를 위한 내부 관리계획의 이행실태를 제대로 점검하지 않은 것으로 조사됐다. 

개인정보위는 대교 홈페이지에 처분 사실을 공표하도록 하고, 전반적인 유출사고 대응체계를 정비할 것을 시정 명령했다. 

개인정보위는 의료법인 영훈의료재단에도 과징금 6억3000만원을 부과했다. 해커는 2024년 3월 재단이 운영하는 대전선병원, 유성선병원 홈페이지 내 SQL 인젝션 취약점을 공격해 회원 18만8481명의 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등을 빼냈다. SQL인젝션은 웹사이트 입력란에 DB명령어를 삽입해 정보를 탈취하는 방식이다.

조사 결과 영훈의료재단은 병원 홈페이지에 회원가입 기능을 운영하면서 개인정보를 수집·처리했다. 웹 공격을 탐지·차단할 수 있는 방화벽을 설치하지 않고, SQL 인젝션 등 웹 취약점 점검이나 홈페이지 입력값을 검증하는 프로그램도 갖추지 않았다. 

비밀번호 관리에도 문제가 있었다. 안전하지 않은 암호 알고리즘을 사용한 데다 같은 비밀번호가 동일한 암호 값으로 저장되는 것을 막는 ‘솔트(salt)’도 적용하지 않았다. 이 때문에 일부 회원의 비밀번호는 복호화가 가능한 상태였던 것을 조사됐다.

개인정보위는 “홈페이지 회원가입 기능 등을 검토해 불필요한 개인 정보가 수집되지 않도록 하고, 웹셸이나 SQL 인젝션 같은 웹 취약점 공격에 대비한 대응체계를 강화해야 한다”고 당부했다.

김세희 기자 [e-mail]