대교, 첫 해킹 경고에도 대응 소홀…65만명 개인정보 두 차례 유출
송경희 "기업 규모 비해 보안 관리 허술"…시정명령 실효성 지적도
송경희 "기업 규모 비해 보안 관리 허술"…시정명령 실효성 지적도
|
29일 개보위는 전날 제21회 전체회의를 열고 개인정보 보호법상 안전조치 의무를 위반한 대교와 영훈의료재단에 과징금과 시정명령 등을 부과하기로 의결했다고 밝혔다. 대교에는 32억5500만원, 대전선병원과 유성선병원을 운영하는 영훈의료재단에는 6억3000만원의 과징금이 각각 부과됐다.
조사 결과 대교에서는 2024년 8월과 2025년 2월 두 차례에 걸쳐 약 65만명의 회원 개인정보가 유출됐다. 해커는 관계사 홈페이지의 파일 업로드 취약점을 이용해 악성코드를 실행한 뒤 대교의 온라인 교육 서비스 '마카다미아' 회원 데이터베이스(DB)에 침입했다. 이 과정에서 이름과 생년월일, 휴대전화번호, 연계정보(CI) 등이 외부로 유출됐다.
문제는 첫 사고 이후 대응 과정에서 드러났다. 대교는 2024년 8월 보안관제업체로부터 해킹 관련 이상 징후를 안내받았지만 상세 분석이나 접근 차단 등 후속 조치를 제대로 이행하지 않았다. 관계사 웹서버에서 회원 DB에 직접 접근할 수 있도록 불필요한 접속 권한을 허용한 사실도 확인됐다.
송경희 개보위원장은 전체회의에서 대교의 보안 관리 부실을 강하게 지적했다. 송 위원장은 "개인정보 수집 규모와 기업 외형에 비해서 보안 관리가 너무 허술했다고 생각이 든다"며 "여러 관계사를 두고 사업하는 다른 기업들도 유사한 피해가 일어나지 않도록 잘 알려야 한다"고 강조했다.
위원들 사이에서도 대교의 초기 대응 실패에 대한 질의가 이어졌다. 한 위원은 "1차 유출 사고에 적절한 조치를 취했으면 2차 유출 사고는 발생하지 않았을 것 같다"며 첫 사고 당시 보안관제 보고서를 수신하고도 별다른 조치를 하지 않은 경위를 지적했다. .
이에 개보위 측은 대교가 별도 보고를 받지 못해 사고를 인지하지 못했다고 주장했지만, 보안관제 보고서를 직접 수신한 사실이 확인됐다고 설명했다. 그러면서 해킹 정황에 대한 상세 분석과 차단 조치가 이뤄졌다면 두 번째 사고를 방지할 수 있었을 것이라는 취지로 답변했다.
시정명령의 실효성을 둘러싼 논의도 이어졌다. 일부 위원은 개인정보 처리시스템의 안전조치를 강화하라는 명령만으로는 기업이 구체적으로 무엇을 이행해야 하는지 불명확하다고 지적했다. 시정명령 범위가 모호하면 향후 이행 여부를 판단하는 과정에서도 문제가 발생할 수 있다는 것이다.
이에 송 위원장은 "시정명령의 구체성에 대해서는 조금 고민이 필요할 것 같다"며 동일한 유형의 사고를 방지하면서도 실효성 있는 시정명령을 마련할 필요가 있다고 밝혔다. 사무처도 사업자의 특성과 위반 내용을 고려해 시정명령을 구체화하는 방향으로 개선하겠다고 설명했다.
이와 관련 대교 측은 "지난해 발생한 개인정보 유출 사고로 고객들에게 심려를 끼친 점에 대해 다시 한번 사과드린다"며 "사고 이후 개인정보 보호 및 정보보안 관리체계를 전반적으로 점검하고 개선 조치를 시행해 왔으며, 이번 처분에 따른 추가 개선 사항도 충실히 이행하겠다"는 입장이다.
의료법인 영훈의료재단에서도 대규모 개인정보 유출이 발생했다. 해커는 2024년 3월 병원 홈페이지의 SQL 인젝션 취약점을 공격해 회원 18만8481명의 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등 개인정보를 탈취했다.
조사 결과 재단은 웹 취약점 공격을 탐지·차단할 수 있는 웹방화벽을 운영하지 않았고, 취약점 점검이나 입력값 검증 등 기본적인 보안조치도 소홀히 했다. 비밀번호 암호화 과정에서도 안전하지 않은 알고리즘을 사용해 일부 비밀번호는 복호화가 가능한 상태였던 것으로 조사됐다.
개보위는 대교에 개인정보 처리시스템 전반의 안전조치 강화와 유출사고 대응체계 정비, 처분 사실 공표를 명령했다. 영훈의료재단에도 주기적인 취약점 점검과 개선 조치를 이행하도록 했다.
송 위원장은 "AI를 통해 취약점을 굉장히 빠르게 발견하고 공격하는 상황에서 작은 관리 소홀이 대규모 사고로 이어지는 경우도 있다"며 개인정보 수집의 필요성과 안전조치 수준을 다시 점검해야 한다고 강조했다.
한편 개보위는 이날 고객센터 상담사의 개인정보 오남용 방지를 위한 사전 실태점검 결과도 심의했다. 쿠팡과 CJ ENM, G마켓, SK브로드밴드 등 서비스 사업자 5곳과 고객센터 운영사 4곳을 대상으로 점검한 결과, 일부 사업자에서 접속기록 관리 미흡과 개인정보 과다 노출 등이 확인됐다. 개보위는 개인정보 마스킹 확대와 임의 검색 제한, 이상조회 탐지 강화 등을 권고했다.
|
