일요주간 - 대교, 65만 명 개인정보 유출로 과징금 32억 ′철퇴′... ＂보안업체 안내받고도 대응 소홀＂

개인정보위, 해커 2024년 8월과 지난해 2월 두 차례 공격… 이름·휴대전화·CI 등 유출
개인정보보호책임자(CPO)의 내부 관리계획 이행실태 점검 소홀도 확인

▲대교 CI.

 

주식회사 대교가 관계사 홈페이지의 웹 취약점을 통한 해킹으로 약 65만 명의 개인정보가 유출된 사건과 관련해 32억 5500만 원의 과징금을 부과받았다. 개인정보보호위원회는 대교가 관계사 웹서버에서 자사 회원 데이터베이스(DB)로 직접 연결할 수 있도록 허용, 보안 이상행위에 대한 탐지와 대응 조치를 소홀히 한 사실을 확인했다.

개인정보보호위원회(이하 개인정보위)는 지난 28일 제21회 전체회의를 열고 개인정보 보호 법규를 위반한 대교에 과징금 32억 5500만 원을 부과하는 한편, 시정명령과 공표명령을 의결했다고 29일 밝혔다.

◇ “보안 이상행위 탐지에도 대응 미흡”… 개인정보위, 접근통제·내부 관리체계 부실 지적

개인정보위 조사에 따르면 신원 미상의 해커는 관계사 홈페이지의 웹 취약점을 이용해 웹셸을 업로드한 뒤 2024년 8월과 지난해 2월 두 차례 악성코드를 실행했다. 이 과정에서 관계사 웹서버와 연동된 대교의 온라인 교육 서비스 ‘마카다미아(macadamia)’ 회원 DB에서 약 65만 명의 개인정보가 유출됐다. 이 과정에서 유출된 정보는 이름과 생년월일, 휴대전화 번호, 연계정보(CI) 등이다.

조사 결과 대교는 관계사 웹서버에서 자사 회원 DB로 직접 접근할 수 있는 불필요한 연결을 허용하고 있었다. 개인정보 유출을 방지하기 위한 접근통제가 충분히 이뤄지지 않은 것이다.

첫 유출이 발생한 2024년 8월에는 보안관제업체로부터 이상행위와 관련한 보안탐지 안내도 받았다. 그러나 대교는 상세 분석과 차단 등 불법적인 개인정보 유출 시도에 대한 탐지·대응 조치를 소홀히 했으며, 지난해 2월 동일한 방식의 접근과 개인정보 유출이 다시 발생했다.

개인정보위는 대교의 개인정보보호책임자(CPO)가 이번 사고의 원인이 된 접근통제 사항 등 개인정보 유출 방지를 위한 내부 관리계획의 이행실태 점검을 소홀히 한 사실도 확인했다.

이에 개인정보위는 대교에 과징금 32억 5500만 원을 부과하고, 개인정보처리시스템의 안전조치를 강화하는 한편 전반적인 유출사고 대응체계를 정비하도록 시정명령을 내렸다. 사업자 홈페이지에 처분받은 사실을 공표하도록 하는 명령도 함께 의결했다.

개인정보위는 이번 처분이 주요 서비스 시스템뿐 아니라 관계사와 연결된 서버도 개인정보 유출 경로가 될 수 있다는 점을 확인했다는 데 의미가 있다고 설명했다. 또한 보안 위협을 탐지하고도 적절히 대응하지 않거나 내부 관리계획의 이행 여부를 실효적으로 점검하지 않을 경우 같은 방식의 유출이 반복될 수 있다고 지적했다.

개인정보위는 사업자들에게 운영 중인 개인정보처리시스템 현황을 파악하고, 웹셸 등 웹 취약점 공격에 대비한 점검과 이상행위 탐지·대응체계를 강화할 것을 당부했다.

 

 

일요주간 / 임태경 기자 ilyo@ilyoweekly.co.kr 

[저작권자ⓒ 일요주간. 무단전재-재배포 금지]