계열사 서버 통해 침투
시스템 접근 제한 미비
한국조선해양도 과태료

송경희 개인정보보호위원회 위원장. 연합뉴스

HD건설기계가 임직원과 협력사 직원 9503명 개인정보가 유출된 사건과 관련해 과장금을 부과받았다.

개인정보보호위원회(개보위)는 지난 26일 전체회의를 열고 HD건설기계에 대해 과징금 7350만 원을 부과하기로 의결했다고 27일 밝혔다. 해커의 침입 경로가 된 서버를 관리한 HD한국조선해양에는 과태료 480만 원이 부과됐다.

개보위 조사 결과 신원 미상의 해커는 2024년 3월께 HD한국조선해양이 운영하는 모바일 기기 관리 서버의 취약점을 이용해 웹셸(Web Shell·해커가 서버에 원격으로 명령을 내릴 수 있도록 심어두는 악성 파일)을 업로드했다.

이후 해커는 이 서버와 통신이 가능했던 HD건설기계의 내부 업무용 시스템에 접속해 임직원과 협력사 직원의 성명, 사번 등 개인정보를 빼냈다.

HD한국조선해양의 모바일 기기 관리 서버는 파일 업로드 취약점에 대한 안전조치가 미흡해 유출 경로로 이용된 것으로 조사됐다.

특히 이 서버와 HD건설기계의 내부 업무용 시스템은 업무상 연계가 필요하지 않았는데도 양사 시스템 간 접근이 제한되지 않았던 것으로 파악됐다. 이 때문에 해커가 HD한국조선해양 시스템을 거쳐 HD건설기계 시스템까지 넘나들 수 있었다.

개보위는 개인정보처리자가 웹 취약점을 통한 개인정보 유출을 막기 위해 보안 대책을 정기적으로 검토하고, 개인정보처리시스템 접속 권한을 IP 등으로 제한해 불필요한 접근을 차단·통제해야 한다고 당부했다.

이번 사건과 관련해 HD건설기계 측은 “유출 발견 즉시 개보위에 자진신고 및 피해 최소화를 위한 후속조치를 실시했다”라며 “향후에도 개인정보 보호 체계 재점검 및 강화를 통해 재발 방지에 최선을 다하겠다”라고 밝혔다.

박동해 기자 eastsea@busan.com