관계사 서버나 보조 홈페이지처럼 주력 서비스가 아닌 경로로 개인정보가 유출돼도 본사가 수십억 원대 과징금을 물게 됐다. 보안관제업체의 이상행위 탐지 안내를 받고도 방치해 두 차례 해킹당하거나, 보조 홈페이지에서 관행적으로 회원정보를 수집해 허술하게 관리한 사업자들에게 과징금 등 제재가 내려졌다.
개인정보보호위원회(위원장 송경희)는 2026년 10월 28일 제21회 전체회의를 열고 개인정보 보호법상 안전조치 의무를 위반한 주식회사 대교와 의료법인 영훈의료재단에 총 38억8,500만 원의 과징금을 부과하고 시정명령 및 공표명령을 하기로 의결했다. 유출 신고를 받고 조사에 착수한 개인정보위는 대교에 과징금 32억5,500만 원과 시정·공표명령을, 대전선병원과 유성선병원을 운영하는 영훈의료재단에 과징금 6억3,000만 원과 시정명령을 각각 결정했다.
대교는 해커가 관계사 홈페이지의 웹 취약점을 이용해 웹셸(악성코드 삽입·실행 기법)을 업로드하고 2024년 8월과 2025년 2월 두 차례에 걸쳐 악성코드를 실행하면서 온라인 교육 서비스(macadamia) 회원 약 65만 명의 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등을 유출당했다. 조사 결과 대교는 관계사 웹서버에서 자사 회원 데이터베이스(DB)로 직접 연결할 수 있는 불필요한 접근을 허용하고 있었다.
특히 대교는 2024년 8월 첫 유출 당시 보안관제업체로부터 이상행위 보안탐지 안내를 받고도 상세 분석이나 차단 조치를 소홀히 해 6개월 뒤 같은 방식의 유출이 재발했다. 아시아투데이에 따르면 대교 측은 조사 과정에서 “별도 보고를 받지 못해 사고를 인지하지 못했다”고 주장했으나, 보안관제 보고서를 직접 수신한 사실이 확인됐다. 전체회의에서는 “1차 유출 사고에 적절한 조치를 취했으면 2차 유출 사고는 발생하지 않았을 것 같다”는 지적이 나왔다. 송경희 위원장도 “개인정보 수집 규모와 기업 외형에 비해서 보안 관리가 너무 허술했다고 생각이 든다”며 “여러 관계사를 두고 사업하는 다른 기업들도 유사한 피해가 일어나지 않도록 잘 알려야 한다”고 말했다.
개인정보보호책임자(CPO)의 직무 소홀도 제재 사유로 지목됐다. 개인정보 보호법 제29조와 제31조, 개인정보의 안전성 확보조치 기준에 따르면 개인정보처리자는 접근통제와 암호화 등 안전조치를 해야 하고, CPO는 내부 관리계획 이행실태를 정기적으로 점검해야 한다. 대교 CPO는 이번 사고의 원인이 된 접근통제 사항 등 내부 관리계획 이행실태 점검을 소홀히 한 사실이 확인됐다.
영훈의료재단은 2024년 3월 병원 홈페이지 내 SQL 인젝션(데이터베이스 명령어 입력 공격) 취약점을 공격받아 회원 18만8,481명의 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등이 유출됐다. 병원 안내와 게시판 이용, 예약신청 등 병원 운영을 보조하는 홈페이지를 운영하면서 관행적으로 회원가입 기능을 두어 개인정보를 수집·처리한 것이 원인이 됐다.
영훈의료재단은 공격을 탐지·차단하는 웹 방화벽을 설치·운영하지 않았고, 웹 취약점 점검이나 입력값 검증 프로그램도 구현하지 않았다. 회원 비밀번호를 암호화할 때 안전하지 않은 알고리즘을 쓰고, 동일 해시값 방지를 위해 추가하는 임의의 값인 솔트(Salt)도 적용하지 않아 일부 비밀번호는 복호화가 가능한 상태였던 것으로 드러났다.
이번 처분은 주력 서비스 시스템뿐 아니라 관계사와 연결된 서버나 운영 보조 홈페이지도 유출 경로가 될 수 있음을 보여준다. 보안 위협을 탐지하고도 적절히 대응하지 않거나 CPO가 내부 관리계획 이행 여부를 실효성 있게 점검하지 않으면 같은 유출이 반복되고 과징금 부과로 이어진다는 점이 확인됐다.
개인정보위는 대교에 안전조치 강화 및 유출사고 대응체계 정비를 명령함과 동시에 홈페이지에 처분 사실을 공표하도록 했고, 영훈의료재단에는 주기적인 취약점 점검 및 개선 조치 이행을 명령했다. 기업들은 홈페이지 회원가입 기능의 필요성을 재검토해 불필요한 개인정보 수집을 줄여야 한다. 또한 운영 중인 시스템 현황을 파악해 웹셸이나 SQL 인젝션 등 알려진 웹 취약점 점검과 이상행위 탐지·대응체계를 강화해야 한다.
