개인정보위, 안전조치 위반 대교·영훈의료재단에 과징금 38억8500만원

대교 32억5500만원·영훈의료재단 6억3000만원…웹 취약점 공격으로 개인정보 유출

대교, 두 차례 악성코드 실행에도 탐지·차단 미흡

영훈의료재단은 18만여명 정보 유출

송경희 개인정보보호위원회 위원장이 정부서울청사에서 개최된 제21회 위원회 전체회의에서 의사봉을 두드리고 있다.[사진=개인정보위]

개인정보보호위원회가 개인정보 안전조치 의무를 위반한 교육기업 대교와 영훈의료재단에 총 38억8500만원의 과징금을 부과했다. 웹 취약점을 이용한 공격으로 개인정보가 유출된 가운데, 접근통제와 침해 징후 탐지, 비밀번호 암호화 등 기본적인 보호조치가 미흡했던 것으로 조사됐다.

개인정보위는 전날 전체회의를 열고 개인정보 보호 법규를 위반한 대교에 과징금 32억5500만원, 의료법인 영훈의료재단에 과징금 6억3000만원을 부과하기로 했다고 29일 밝혔다.

대교는 눈높이·차이홍 등 온·오프라인 교육 서비스를 운영하는 사업자이며, 영훈의료재단은 의료 서비스를 제공하는 법인이다.

개인정보위 조사 결과 대교는 관계사 웹서버에서 대표 회원 데이터베이스(DB)로 직접 연결할 수 있도록 불필요한 접근을 허용한 것으로 나타났다. 신원 미상의 공격자는 관계사 홈페이지의 웹 취약점을 이용해 웹셸을 업로드한 뒤 2024년 8월과 2025년 2월 두 차례에 걸쳐 악성코드를 실행했다.

대교는 첫 유출 사고 당시 보안관제업체로부터 이상 행위와 관련한 보안 탐지 정보를 전달받았지만, 상세 분석과 차단 등 후속 조치를 소홀히 한 것으로 조사됐다. 개인정보위는 개인정보 보호책임자(CPO)가 유출 사고의 원인이 된 접근통제 등 개인정보 보호조치에 대한 관리계획과 실태 점검을 제대로 이행하지 않은 사실도 확인했다.

영훈의료재단에서는 2024년 3월 병원 홈페이지의 SQL 인젝션 취약점을 이용한 공격으로 회원 개인정보가 유출됐다. 유출된 정보는 아이디와 비밀번호, 이름 등으로, 피해 규모는 약 18만8481명에 달했다.

개인정보위에 따르면 영훈의료재단은 홈페이지 운영 과정에서 관행적으로 회원가입 기능을 통해 개인정보를 수집·처리했다. 또한 회원가입 시 입력받은 비밀번호를 암호화하면서 안전하지 않은 알고리즘을 사용한 것으로 확인됐다.

개인정보위는 불필요한 개인정보가 수집되지 않도록 하고, 운영 중인 개인정보처리시스템 현황을 파악해 웹셸 업로드와 SQL 인젝션 등 웹 취약점 공격에 대비한 점검 및 대응체계를 강화할 것을 당부했다.