개인정보 줄줄 샜다…대교·선병원에 과징금 38억원

교육 기업 대교와 영훈의료재단이 개인정보 유출로 총 38억8500만원의 과징금을 부과받았다.

개인정보보호위원회는 28일 제21회 전체회의를 열고 개인정보 보호 법규를 위반한 두 사업자에 과징금 부과와 시정명령을 의결했다고 29일 밝혔다. 개인정보위는 이들 사업자가 '개인정보 보호법'상 안전조치 의무를 소홀히 한 것으로 확인했다.

대교에는 과징금 32억5500만원이 부과됐다. 해커는 대교 관계사 홈페이지의 웹 취약점을 이용해 2024년 8월과 2025년 2월 두 차례에 걸쳐 악성코드를 실행했다. 이 공격으로 대교의 온라인 교육 서비스 회원 약 65만 명의 이름, 생년월일, 휴대전화번호 등 개인정보가 유출됐다.

개인정보위 조사 결과, 대교는 2024년 8월 첫 유출 당시 보안관제업체로부터 이상행위 탐지 안내를 받았음에도 대응 조치를 소홀히 했다. 이로 인해 2025년 2월 동일한 방식의 유출이 재발했다. 개인정보보호책임자(CPO)가 내부 관리계획 이행 점검을 소홀히 한 사실도 확인됐다.

대전선병원과 유성선병원을 운영하는 영훈의료재단에는 과징금 6억3000만원이 부과됐다. 해커는 2024년 3월 병원 홈페이지의 'SQL 인젝션' 취약점을 공격했다. 이로 인해 홈페이지 회원 18만8481명의 아이디, 비밀번호, 이름 등 개인정보가 유출됐다.

영훈의료재단은 웹 취약점 공격을 탐지·차단하는 웹 방화벽을 운영하지 않았던 것으로 드러났다. 또한 안전하지 않은 암호 알고리즘을 사용해 일부 비밀번호는 복호화가 가능한 상태였다.

개인정보위는 이번 조치를 통해 관계사 서버나 보조 홈페이지도 개인정보 유출 경로가 될 수 있음을 경고했다. 이어 불필요한 개인정보 수집을 최소화하고 웹 취약점 점검 및 이상행위 탐지 체계를 강화할 것을 당부했다.