대교·영훈의료재단, 개인정보 84만명 유출…과징금 38억8500만원

교육기업 대교와 대전선병원·유성선병원을 운영하는 영훈의료재단이 개인정보 보호조치를 소홀히 해 총 38억8500만원의 과징금을 부과받았다. 두 사업자에서 유출된 개인정보는 약 84만명분에 달한다.

개인정보보호위원회(이하 개인정보위)는 지난 28일 제21회 전체회의에서 개인정보 보호법상 안전조치 의무를 위반한 대교에 과징금 32억5500만원, 영훈의료재단에 6억3000만원 등 총 38억8500만원을 부과하기로 의결했다고 29일 밝혔다. 두 사업자에는 시정명령을 내리고 대교에는 처분 사실을 홈페이지에 공표하도록 명령했다.

개인정보위 조사 결과, 대교의 개인정보 유출은 관계사 홈페이지의 웹 취약점에서 시작됐다. 신원을 알 수 없는 해커는 관계사 홈페이지의 취약점을 이용해 웹셸을 업로드하고 악성코드를 실행했다. 웹셸은 공격자가 웹서버에 설치해 원격으로 명령을 실행하거나 정보를 탈취하는 데 사용하는 악성 프로그램이다.

해커는 이를 통해 관계사 웹서버와 연결된 대교의 온라인 교육 서비스 ‘마카다미아(macadamia)’ 회원 데이터베이스(DB)에 접근했다. 이 과정에서 약 65만명의 이름과 생년월일, 휴대전화번호, 연계정보(CI) 등이 유출됐다. CI는 온라인 서비스에서 동일한 이용자를 식별하거나 연계하는 데 사용하는 정보다.

대교는 관계사 웹서버에서 자사 회원 DB로 직접 연결할 수 있도록 불필요한 접근을 허용한 것으로 조사됐다. 해커는 이러한 연결 구조를 이용해 대교의 회원정보에 접근할 수 있었다.

특히 첫 번째 유출이 발생한 2024년 8월 대교는 보안관제업체로부터 이상행위와 관련된 보안탐지 안내를 받았다. 그러나 개인정보위는 대교가 상세 분석과 차단 등 불법적인 개인정보 유출 시도에 대한 탐지·대응 조치를 소홀히 했다고 판단했다.

그 결과 2025년 2월에도 동일한 방식의 접근과 개인정보 유출이 발생했다. 첫 번째 사고 당시 이상행위가 탐지됐지만 적절한 후속 대응이 이뤄지지 않아 같은 공격 방식으로 개인정보가 다시 유출된 것이다.

개인정보 관리·감독에도 문제가 있었다. 대교의 개인정보보호책임자(CPO)는 이번 유출사고의 원인이 된 접근통제 사항 등 개인정보 유출 방지를 위한 내부 관리계획이 제대로 이행되는지 점검하지 않은 것으로 확인됐다.

개인정보위는 대교에 개인정보처리시스템의 안전조치를 강화하고 전반적인 유출사고 대응체계를 정비하도록 시정명령을 내렸다. 처분받은 사실을 홈페이지에 공표하도록 하는 공표명령도 함께 부과했다.

영훈의료재단에서는 2024년 3월 병원 홈페이지를 통해 회원 18만8481명의 개인정보가 유출됐다. 유출된 정보는 아이디와 비밀번호, 이름, 휴대전화번호, 생년월일 등이다.

해커는 병원 홈페이지의 구조화 질의 언어 삽입(SQL 인젝션) 취약점을 악용했다. SQL 인젝션은 웹사이트 입력창에 악의적인 데이터베이스 명령어를 넣어 저장된 정보를 조회하거나 탈취하는 공격 방식이다.

개인정보위 조사 결과 영훈의료재단은 병원 안내와 게시판 이용, 예약신청 등 병원 운영을 보조하는 홈페이지를 운영하면서 관행적으로 회원가입 기능을 구현해 개인정보를 수집·처리했다.

그러나 웹 취약점 공격을 탐지·차단할 수 있는 웹방화벽 등을 설치·운영하지 않았다. SQL 인젝션 등 웹 취약점을 점검하지 않았으며 홈페이지에 입력한 값이 악의적인 명령어인지 검증하는 프로그램도 구현하지 않았다.

비밀번호 보호조치도 미흡했다. 영훈의료재단은 홈페이지 회원의 비밀번호를 암호화하는 과정에서 안전하지 않은 암호 알고리즘을 사용했다. 동일한 비밀번호라도 서로 다른 암호화 결과가 나오도록 임의의 값을 추가하는 ‘솔트(Salt)’도 적용하지 않았다. 개인정보위는 이 때문에 일부 비밀번호를 복호화할 수 있는 상태였다고 확인했다.

개인정보위는 영훈의료재단에 과징금 6억3000만원을 부과하고 개인정보처리시스템의 취약점을 주기적으로 점검하고 개선하도록 시정명령을 내렸다.

개인정보위는 이번 조사에서 주요 서비스를 제공하는 시스템뿐 아니라 관계사와 연결된 서버나 보조 홈페이지도 개인정보 유출 경로가 될 수 있다는 점을 확인했다.

특히 보안 위협을 탐지하고도 적절히 대응하지 않거나 내부 관리계획의 이행 여부를 제대로 점검하지 않으면 동일한 방식의 개인정보 유출이 반복될 수 있다고 지적했다.

개인정보위는 사업자들에게 홈페이지 회원가입 기능의 필요성을 재검토하고 불필요한 개인정보 수집을 줄이도록 당부했다. 웹셸과 SQL 인젝션 등 알려진 공격에 대비해 웹 취약점 점검과 이상행위 탐지·대응체계도 강화하도록 했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network