대교, 경고 받고도 같은 수법에 또 뚫렸다…개인정보 65만명 유출에 과징금 32억원

[경제일보] 교육기업 대교가 보안관제업체의 이상행위 경고를 받고도 대응을 소홀히 해 같은 방식의 개인정보 유출을 다시 당한 것으로 드러났다. 관계사 서버에서 회원 데이터베이스(DB)로 연결되는 불필요한 접근을 허용한 데다, 탐지 이후 분석·차단과 관리책임자의 점검도 제대로 이뤄지지 않았다.

개인정보보호위원회는 지난 28일 전체회의에서 안전조치 의무를 위반한 대교에 과징금 32억5500만원과 시정명령, 처분 사실 공표명령을 의결했다고 29일 밝혔다. 영훈의료재단에는 과징금 6억3000만원과 시정명령을 내렸다. 두 사업자 과징금은 총 38억8500만원이다.

대교에서는 2024년 8월과 2025년 2월 두 차례에 걸쳐 온라인 교육 서비스 회원 약 65만명의 이름·생년월일·휴대전화번호·연계정보(CI) 등이 유출됐다.

해커는 관계사 홈페이지의 웹 취약점을 이용해 서버에서 명령을 실행하는 악성코드인 웹셸을 심었다. 관계사 웹서버와 연결된 대교 회원 DB까지 접근해 정보를 빼냈다.

개인정보위는 대교가 관계사 서버에서 회원 DB로 직접 연결할 수 있는 불필요한 접근을 허용했다고 판단했다. 첫 유출 당시 보안관제업체로부터 이상행위 탐지 안내를 받았지만 상세 분석과 차단을 소홀히 해 약 6개월 뒤 동일한 방식의 유출이 반복됐다.

개인정보보호책임자(CPO)가 접근통제 등 내부 관리계획의 이행 실태를 제대로 점검하지 않은 사실도 확인됐다. 개인정보위는 시스템 안전조치 강화와 사고 대응체계 정비를 명령했다.

대전선병원과 유성선병원을 운영하는 영훈의료재단은 2024년 3월 홈페이지 회원 18만8481명의 아이디·비밀번호·이름·휴대전화번호·생년월일 등이 유출됐다.

공격자는 홈페이지 입력값을 통해 DB 명령을 실행하는 SQL 인젝션 취약점을 악용했다. 재단은 웹 방화벽 등 탐지·차단 장치를 운영하지 않았고, 취약점 점검과 입력값 검증도 소홀히 했다.

비밀번호 보호도 부실했다. 안전하지 않은 암호 알고리즘을 사용하고 비밀번호별로 임의의 값을 더해 분석을 어렵게 하는 ‘솔트’를 적용하지 않아 일부 비밀번호를 복원할 수 있었던 것으로 조사됐다.

한편 두 사건은 보안장비 설치 여부를 넘어 개인정보가 연결되고 쌓이는 구조를 점검해야 한다는 과제를 보여준다. 대교는 경보가 실제 차단으로 이어지지 않았고, 영훈의료재단은 병원 안내·게시판·예약신청을 보조하는 홈페이지에 관행적으로 회원가입 기능을 두고 정보를 수집했다.

기업은 관계사와 보조 홈페이지까지 포함해 DB 접근권한과 정보 보관 필요성을 재검토해야 한다. 경보를 누가 분석하고 언제 차단하며, 조치 완료를 누가 확인하는지도 명확해야 한다. 개인정보위 역시 불필요한 개인정보 수집을 줄이고 알려진 웹 공격에 대한 점검과 탐지·대응체계를 강화하라고 당부했다.