송경희 개인정보보호위원회 위원장이 28일 오후 서울 종로구 정부서울청사에서 열린 제21회 전체회의에 참석해 의사봉을 두드리고 있다. /임영무 기자

[더팩트ㅣ이윤경 기자] 교육기업 대교와 의료법인 영훈의료재단이 개인정보 보호법상 안전조치 의무 위반으로 총 38억8500만원의 과징금 제재를 받는다.

개인정보보호위원회(개보위)는 전날 제21회 전체회의를 열고 개인정보 보호법에 따른 안전조치 의무를 소홀히 한 대교에 과징금 32억5500만원, 영훈의료재단에 과징금 6억3000만원을 부과하기로 의결했다고 29일 밝혔다.

개보위 조사 결과 해커는 관계사 홈페이지의 웹 취약점을 이용해 실행 가능한 악성코드를 삽입·실행하는 방식으로 2024년 8월과 2025년 2월 두 차례에 걸쳐 대교의 온라인 교육 서비스 '마카다미아' 회원 약 65만명의 개인정보를 유출했다.

유출된 정보에는 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등이 포함됐다. 대교는 관계사 웹서버에서 대교 회원 데이터베이스(DB)로 불필요한 접근이 가능하도록 허용해 피해를 키운 것으로 조사됐다.

첫 번째 유출 당시 보안관제업체로부터 이상 행위 관련 보안 탐지 안내를 받고도 적절한 대응 조치를 하지 않아 동일한 방식의 접근과 정보 유출이 재차 발생했다고 개인정보위는 설명했다.

대전선병원과 유성선병원을 운영하는 영훈의료재단은 2024년 3월 해커가 병원 홈페이지의 SQL 인젝션 등 웹 취약점을 공격해 회원 18만8481명의 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등 개인정보를 유출했다.

개인정보위 조사 결과 영훈의료재단은 웹 취약점 공격을 탐지·차단하는 조치를 하지 않았으며, SQL 인젝션 등 웹 취약점을 점검하거나 홈페이지 입력값을 검증하는 프로그램도 구현하지 않은 것으로 나타났다.

또 홈페이지 회원가입 과정에서 비밀번호를 암호화하면서 안전하지 않은 알고리즘을 사용했고, 솔트(salt) 값도 적용하지 않아 일부 비밀번호는 복호화가 가능한 것으로 확인됐다.

송경희 개인정보보호위원회 위원장이 지난 28일 오후 서울 종로구 정부서울청사에서 열린 제21회 전체회의에 참석해 모두발언을 하고 있다. /임영무 기자

개보위는 대교와 영훈의료재단에 과징금 부과와 함께 개인정보처리시스템의 안전조치를 강화하고 전반적인 유출 사고 대응체계를 정비하도록 시정명령을 내렸다. 대교엔 사업자 홈페이지에 처분 사실을 공표하도록 하는 명령도 의결했다.

개보위는 이날 고객센터 상담사가 고객정보를 무단 조회해 보복 범죄에 악용한 사건을 계기로 실시한 고객센터 개인정보 처리실태 사전점검 결과도 심의·의결했다.

점검 대상은 쿠팡, 위대한상상, CJ ENM, G마켓, SK브로드밴드 등 서비스 사업자 5곳과 메타엠, 유베이스 등 고객센터 운영사 4곳이다.

점검 결과 일부 사업자는 외부 접속 시 인증서나 보안토큰 등 안전한 인증수단을 적용하지 않았다. 접속기록의 필수 항목을 누락하거나 법정 보관기간인 2년보다 짧은 1년간 기록을 보관한 사례도 확인됐다. 개인정보 처리 업무를 위탁하면서 위탁 업무 내용과 수탁자를 공개하지 않은 경우도 있었다.

개보위는 점검 과정에서 상당수 미흡 사항이 개선됐으며, 조치가 완료되지 않은 사항에는 시정권고를 했다고 밝혔다. 아울러 고객센터에서 개인정보를 최소한으로 조회하고 상담사의 임의 검색을 통제할 수 있도록 '고객센터 개인정보 보호 4대 행동수칙'을 제시했다.

4대 행동수칙은 △필요한 개인정보만 표시하고 조회하기 △업무에 필요한 사람만 접근하도록 통제하기 △누가, 언제, 어떤 정보를 조회했는지 기록하고 확인하기 △상담사와 고객센터 운영사를 함께 관리·감독하기 등이 포함됐다.

bsom1@tf.co.kr