교육·의료기관 개인정보 약 84만 명분 유출 확인…보안 경고 뒤 반복 침해도 드러나
개인정보위가 대교와 영훈의료재단의 과거 유출 사고에 총 38억 8,500만 원의 과징금을 의결했다. 약 84만 명분은 두 기관 규모의 합계이지 중복 제거된 인원은 아니다.
개인정보보호위원회는 10월 29일 대교와 영훈의료재단에 안전조치 의무 위반으로 총 38억 8,500만 원의 과징금을 부과하고 시정명령 등을 내리기로 했다고 발표했습니다. 전날인 10월 28일 제21회 전체회의에서 의결한 처분이다. 조사 대상 사고는 과거에 발생했으며 발표일에 새 침해가 일어났다는 뜻은 아닙니다. 개인정보위 발표
당국에 따르면 대교의 온라인 교육서비스 회원 약 65만 명은 2024년 8월과 2025년 2월 두 차례 공격으로 이름·생년월일·휴대전화번호·연계정보(CI) 등이 유출됐다. 공격자는 관계사 홈페이지의 취약점을 이용해 악성코드를 넣고 연결된 회원 데이터베이스에 접근했습니다. 첫 사고 당시 보안관제업체의 경고를 받았지만 침해 시도 분석과 차단이 부족해 같은 방식의 유출이 반복됐다는 것이 개인정보위의 조사 결과입니다. 대교에는 과징금 32억 5,500만 원과 시정명령·공표명령이 내려졌다.
영훈의료재단이 운영하는 병원 홈페이지에서는 2024년 3월 SQL 인젝션 공격으로 회원 18만 8,481명의 아이디·비밀번호·이름·전화번호·생년월일 등이 유출됐다. SQL 인젝션은 웹사이트 입력값을 악용해 데이터베이스를 부당하게 조회하는 공격이다. 개인정보위는 웹 방화벽과 취약점 점검이 미흡했고 일부 비밀번호 보호 방식도 안전하지 않았다고 판단해 과징금 6억 3,000만 원을 부과했습니다.
두 기관의 유출 규모는 합계 약 84만 명분이다. 다만 중복 개인 여부까지 확인한 고유 피해자 수는 아닙니다. 교육서비스 이용자와 병원 홈페이지 회원은 이름·연락처 등을 악용한 사칭 연락과 피싱을 경계할 필요가 있습니다. 여러 사이트에서 같은 비밀번호를 썼다면 변경하고 운영기관이 안내하는 유출 항목과 후속 보호조치를 확인하는 것이 중요합니다. 한겨레의 조사 결과 보도
이번 발표만으로 모든 대상자에게 추가 금융피해가 발생했다고 추정할 수는 없습니다. 과징금은 행정처분이며 전체 피해자의 민사상 손해액을 뜻하지 않습니다. 관계사 서버와 병원 홈페이지처럼 부수적인 시스템까지 보안 관리 범위에 포함해야 한다는 과제가 남습니다.