개인정보위, 대교, 영훈의료재단에 과징금·시정명령
대교, 65만 회원 이름 생년월일 전화번호 등 유출돼

송경희 개인정보보호위원회 위원장이 지난 28일 서울 종로구 정부서울청사에서 열린 제21회 전체회의에서 발언하고 있다. 연합뉴스

개인정보보호위원회가 개인정보 보호법을 위반한 교육업체 대교와 의료법인 영훈의료재단에 총 38억 8500만 원의 과징금을 부과했다.

개인정보위는 지난 28일 전체회의에서 개인정보 보호 법규를 위반한 2개 사업자에 대한 과징금 부과와 시정명령, 공표명령을 의결했다고 29일 밝혔다. 대교는 눈높이, 차이홍 등 온·오프라인 종합 교육 서비스를 운영하고 영훈의료재단은 대전선병원, 유성선병원을 운영한다.

개인정보위에 따르면 해커가 대교 관계사 홈페이지의 웹 취약점을 이용해 웹셸(악성코드를 삽입한 공격 기법)을 업로드하고, 2024년 8월과 2025년 2월 두 차례에 걸쳐 악성코드를 실행했다. 이 때문에 관계사 웹서버와 연동된 대교의 온라인 교육 서비스 회원 데이터베이스에서 약 65만 명의 이름, 생년월일, 휴대전화번호, 연계정보 등 개인정보가 유출됐다.

개인정보위 조사 결과에 따르면, 대교는 관계사 웹서버에서 대교 회원 DB로 직접 연결할 수 있는 불필요한 접근을 허용하고 있었다. 대교는 2024년 8월 첫 유출 발생 당시 보안관제업체로부터 이상행위와 관련된 보안탐지 안내를 받았지만, 상세 분석·차단 등 불법적인 개인정보 유출시도에 대한 탐지와 대응 조치를 소홀히 했고 2025년 2월에 같은 방식의 해킹과 유출이 재발했다. 대교의 개인정보보호책임자(CPO)가 이번 유출사고의 원인이 된 접근통제 사항 등 개인정보 유출 방지를 위한 내부 관리계획의 이행실태 점검을 소홀히 한 사실도 확인됐다.

개인정보위는 대교에 과징금 32억 5500만 원을 부과하고 개인정보처리시스템에 대한 안전조치 강화와 전반적인 유출사고 대응체계를 정비할 것을 시정명령했다. 또 홈페이지에 처분받은 사실을 공표하도록 명령했다.

개인정보위는 영훈의료재단에 대해 해커가 2024년 3월 병원 홈페이지 내 취약점을 공격, 홈페이지 회원으로 가입한 18만 8481명의 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등 개인정보를 유출했다고 밝혔다. 병원 홈페이지는 회원가입 시 입력한 비밀번호를 암호화하면서 안전하지 않은 암호 알고리즘을 사용했고 일부 비밀번호의 경우 복호화(암호화의 반대)가 가능한 사실도 확인됐다. 개인정보위는 영훈의료재단에 과징금 6억 3000만 원을 부과하고 개인정보처리시스템에 대한 주기적인 취약점 점검, 개선 조치를 이행할 것을 시정명령했다.