개인정보위, HD건설기계·HD한국조선해양 제재…9503명 정보 유출

개인정보보호위원회(이하 개인정보위)는 개인정보 보호를 위한 안전조치 의무를 위반한 HD건설기계와 HD한국조선해양에 각각 과징금 7350만원과 과태료 480만원을 부과했다. 개인정보위는 지난 26일 제17회 전체회의에서 양사에 대한 제재를 의결했다.

이번 사고에서는 HD한국조선해양이 운영하던 모바일 기기 관리 서버가 HD건설기계 내부 시스템으로 침투하는 경로로 이용됐다.

개인정보위 조사에 따르면 신원 미상의 해커는 2024년 3월께 HD한국조선해양의 모바일 기기 관리 서버에 존재하던 파일 업로드 취약점을 이용해 웹 셸(Web Shell) 파일을 올렸다. 웹 셸은 공격자가 웹서버에서 명령을 실행할 수 있도록 하는 악성 파일이다.

해커는 이후 해당 서버와 통신할 수 있던 HD건설기계 내부 업무용 시스템에 접속했다. 이 과정에서 HD건설기계 임직원과 협력사 직원 9503명의 성명과 사번 등의 개인정보가 유출됐다.

조사 결과 HD한국조선해양의 모바일 기기 관리 서버는 파일 업로드 취약점에 대한 안전조치가 미흡했던 것으로 확인됐다.

두 회사 시스템 사이의 접근통제도 제대로 이뤄지지 않았다. 개인정보위는 HD한국조선해양의 모바일 기기 관리 서버와 HD건설기계의 내부 업무용 시스템 사이에 업무상 연계가 필요하지 않았지만 양사가 시스템 간 접근을 제한하지 않았다고 설명했다. 해커는 이를 이용해 HD한국조선해양의 시스템을 거쳐 HD건설기계 개인정보처리시스템에 접근했다.

개인정보위는 개인정보가 실제 유출된 HD건설기계에는 개인정보보호법 제29조의 안전조치 의무 위반으로 과징금 7350만원을 부과했다. 공격 경로로 이용된 시스템을 운영한 HD한국조선해양에는 같은 조항 위반으로 과태료 480만원을 부과했다.

개인정보위는 개인정보처리시스템의 웹 취약점을 정기적으로 점검하고 불필요한 시스템 간 연결을 차단해야 한다고 당부했다. 개인정보처리시스템에 대한 접속 권한을 인터넷 프로토콜(IP) 주소 등을 기준으로 제한해 불법적인 접근을 통제할 필요가 있다고 설명했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network