대교·영훈의료재단, 개인정보 유출에 과징금 38.8억…보안관제 경고도 무시

개인정보보호위원회가 개인정보 유출을 일으킨 교육업체 대교와 영훈의료재단에 합계 38억8,500만 원의 과징금을 부과했다. 개인정보위는 28일 전체회의를 열고 두 사업자에 과징금과 함께 시정명령, 공표명령을 의결했다고 29일 밝혔다. 두 회사 모두 개인정보 보호법상 안전조치 의무를 제대로 지키지 않은 것으로 조사됐다.

가장 큰 피해는 대교에서 나왔다. 눈높이와 차이홍 등 교육 서비스를 운영하는 대교는 온라인 교육 서비스 '마카다미아' 회원 데이터베이스에서 약 65만 명의 이름, 생년월일, 휴대전화번호, 연계정보(CI)가 유출됐다. 외부 공격자가 관계사 홈페이지의 웹 취약점을 뚫고 악성코드를 심어 회원 정보를 빼낸 것으로, 유출은 2024년 8월과 2025년 2월 두 차례에 걸쳐 발생했다.

문제는 첫 사고 뒤 대응이었다. 대교는 관계사 웹서버에서 회원 데이터베이스로 곧장 연결되는 불필요한 접근을 열어두고 있었다. 2024년 8월 첫 유출 때 보안관제업체로부터 이상행위 탐지 안내까지 받았지만 상세 분석과 차단에 소홀했고, 결국 같은 수법으로 정보가 다시 새나갔다. 개인정보보호책임자가 내부 관리계획 이행실태 점검을 제대로 챙기지 않은 사실도 확인됐다. 개인정보위는 대교에 과징금 32억5,500만 원을 부과하고, 시스템 안전조치 강화와 유출사고 대응체계 정비를 명령했다.

영훈의료재단은 홈페이지 관리 부실이 화근이 됐다. 재단이 운영하는 대전선병원과 유성선병원 홈페이지가 2024년 3월 SQL 인젝션 공격을 당해 회원 18만8,481명의 아이디와 비밀번호, 이름, 휴대전화번호, 생년월일이 유출됐다. 병원 안내와 예약신청을 돕는 홈페이지를 만들면서 관행적으로 회원가입 기능을 두고 개인정보를 모은 것이 출발점이었다.

보안 장치도 사실상 없었다. 웹 취약점 공격을 막는 웹 방화벽을 설치·운영하지 않았고, 입력값을 검증하는 프로그램도 두지 않았다. 비밀번호를 암호화할 때도 안전하지 않은 알고리즘을 쓰고 솔트 값을 적용하지 않아 일부 비밀번호는 복호화가 가능한 상태였다. 개인정보위는 영훈의료재단에 과징금 6억3,000만 원과 함께 주기적인 취약점 점검 및 개선 조치를 이행하라고 명령했다.

이번 처분은 유출 경로가 어디까지 뻗을 수 있는지를 보여준다. 개인정보위는 주요 서비스 시스템뿐 아니라 관계사와 연결된 서버, 서비스를 보조하는 홈페이지도 개인정보 유출 통로가 될 수 있음을 확인했다고 설명했다. 관행적으로 모으는 개인정보가 무엇인지 파악하고 안전조치를 점검해야 한다는 점도 강조했다. 보안 위협을 탐지하고도 대응하지 않거나 내부 관리계획 이행 점검을 형식적으로 하면 같은 방식의 유출이 되풀이될 수 있다고도 지적했다.

개인정보위는 사업자들에게 회원가입 기능의 필요성부터 다시 따져 불필요한 정보 수집을 줄이고, 웹셸이나 SQL 인젝션 같은 잘 알려진 공격에 대비해 웹 취약점 점검과 이상행위 탐지·대응체계를 강화하라고 당부했다.