대교 개인정보 유출 과징금 소식이 큰 화제입니다. 개인정보보호위원회가 교육업체 대교에 과징금 32억 5500만원을 부과했습니다. 같은 날 의료법인 영훈의료재단에도 6억 3000만원 과징금이 부과되어 두 건을 합치면 총 38억 8500만원에 달합니다. 두 사업자 모두 안전조치 의무를 지키지 않아 대규모 개인정보 유출 사고로 이어졌습니다. 아래 표에서 핵심 내용을 정리했습니다.
| 구분 | 대교 | 영훈의료재단 |
|---|---|---|
| 유출 규모 | 약 65만명 | 약 18만 8천명 |
| 공격 방식 | 웹셸 악성코드 | SQL 인젝션 |
| 주요 문제 | 보안 경고 방치, 불필요한 접근 허용 | 웹 방화벽 없음, 취약점 점검 누락 |
| 과징금 | 32억 5500만원 | 6억 3000만원 |
목차
대교 해킹 사고의 전말
대교는 관계사 홈페이지의 웹 취약점을 이용한 해킹 공격을 받았습니다. 해커는 악성코드인 웹셸을 업로드한 뒤 2024년 8월과 2025년 2월 두 차례에 걸쳐 온라인 교육 서비스 회원 약 65만명의 정보를 빼냈습니다. 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등이 유출되었습니다. 특히 첫 유출 당시 보안관제업체가 이상 행위를 탐지해 안내했는데도 제대로 된 대응을 하지 않아 6개월 뒤 같은 방식으로 재차 공격을 당했습니다. 이번 조사에서는 관계사 웹서버에서 대교 회원 데이터베이스로 직접 연결할 수 있는 불필요한 접근 통로가 있었던 점도 확인되었습니다. 개인정보보호책임자(CPO) 역시 내부 관리계획 이행실태를 제대로 점검하지 않았습니다. 이런 사실을 종합하면 예방 가능한 사고였습니다.
이 사건을 바라보며 가장 안타까운 점은 이미 한 번 터진 사고가 같은 방법으로 다시 발생했다는 것입니다. 보안관제업체의 탐지 알림이 왔을 때 바로 차단하거나 상세 분석을 했다면 6개월 뒤 2차 유출은 막을 수 있었을지도 모릅니다. 대규모 회원 정보를 보유한 기업이라면 더더욱 외부 경고를 가볍게 여겨서는 안 된다는 교훈을 남깁니다.
영훈의료재단 병원 홈페이지도 뚫렸다
영훈의료재단은 대전선병원과 유성선병원을 운영하는 곳입니다. 병원 홈페이지의 SQL 인젝션 취약점을 악용해 회원 18만 8481명의 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일이 유출되었습니다. 조사 과정에서 웹 방화벽을 설치하지 않았고 취약점 점검도 하지 않았던 것으로 나타났습니다. 입력값 검증 프로그램도 없었으며 비밀번호 암호화에서 안전하지 않은 알고리즘을 사용하고 솔트값도 적용하지 않아 일부 비밀번호는 복호화가 가능한 상태였습니다.
병원 측은 홈페이지에 관행적으로 회원가입 기능을 두고 불필요한 개인정보를 수집해왔습니다. 개인정보보호위원회는 홈페이지 회원가입 기능의 필요성을 재검토하라고 권고했습니다. 이번 사고는 부수적인 운영 서버도 주요 유출 경로가 될 수 있다는 점을 보여줍니다. 특히 병원이라는 특성상 개인정보가 더욱 민감한데 기본적인 보안 장비조차 갖추지 않은 것은 심각한 문제로 볼 수 있습니다.
이번 대교 개인정보 유출 과징금 결정과 영훈의료재단 과징금 부과는 비슷한 유형의 사고가 반복되는 현실을 잘 보여줍니다. 두 사업자 모두 웹 서버의 보안 취약점을 제때 보완했다면 사고를 막을 수 있었습니다. 개인정보보호위원회는 관계사와 연결된 서버나 보조 홈페이지도 개인정보 유출 경로가 될 수 있으므로 관행적으로 수집하는 개인정보와 안전조치 현황을 점검해야 한다고 밝혔습니다.
개인정보 보호에서 배워야 할 점
불필요한 개인정보 수집부터 줄여야 합니다
영훈의료재단의 사례처럼 단순한 안내용 홈페이지에 회원가입 기능을 두는 경우가 많습니다. 방문자가 굳이 회원이 되지 않아도 필요한 서비스를 이용할 수 있다면 회원가입 기능을 아예 없애는 것이 가장 확실한 예방입니다. 개인정보를 수집하지 않으면 유출될 정보도 없기 때문입니다. 기업 입장에서도 수집한 정보가 많아질수록 관리 부담과 법적 위험이 커진다는 점을 명심해야 합니다.
보안 경고는 반드시 즉각 대응해야 합니다
대교는 보안관제업체의 이상행위 탐지 안내를 받고도 후속 조치를 방치했습니다. 그 결과 6개월 뒤 동일한 공격에 다시 뚫렸고 과징금도 32억원 넘게 부과되었습니다. 외부에서 보안 위협을 알려줬을 때는 그 신호를 가볍게 여기지 말고 즉시 원인 분석과 차단 조치를 해야 합니다. 실제로 많은 기업이 탐지 로그만 확인하고 실질적인 대응까지 이어지지 않아 사고를 키우는 경우가 적지 않습니다.
기본적인 암호화 원칙을 지켜야 합니다
비밀번호를 저장할 때는 안전한 알고리즘을 사용하고 솔트값을 적용해야 합니다. 영훈의료재단은 안전하지 않은 알고리즘과 솔트 미적용으로 일부 비밀번호가 복호화될 수 있었습니다. 개인정보보호위원회가 지적했듯이 비밀번호는 단방향 암호화를 통해 원래 값을 알아낼 수 없게 만들어야 합니다. 기본 원칙만 지켰어도 피해 범위가 줄었을 것입니다.
마무리하며 바라는 점
지금까지 대교 개인정보 유출 과징금과 영훈의료재단 과징금 사례를 살펴봤습니다. 두 사건 모두 웹 취약점 관리와 보안 대응 체계가 허술했던 것이 공통 원인이었습니다. 개인정보보호위원회는 앞으로도 알려진 취약점 공격에 대비하고 이상행위 탐지 대응을 강화해야 한다고 당부했습니다. 이번 과징금 결정이 단순한 처벌에 그치지 않고 모든 기업이 개인정보 보호의 기본부터 다시 점검하는 계기가 되기를 바랍니다. 대규모 유출 사고는 한 번 발생하면 기업 신뢰에 큰 타격을 주고 이용자에게는 돌이킬 수 없는 피해를 남깁니다. 안전한 디지털 환경을 만들기 위해 수집 단계부터 폐기 단계까지 철저한 관리가 이루어지길 기대합니다.
자주 묻는 질문
Q: 대교 개인정보 유출 과징금은 얼마인가요?
A: 대교에 부과된 과징금은 32억 5500만원입니다. 같은 날 영훈의료재단에도 6억 3000만원이 부과되어 두 건의 총액은 38억 8500만원입니다.
Q: 대교에서 유출된 개인정보는 어떤 것들이 있나요?
A: 온라인 교육 서비스 회원 약 65만명의 이름, 생년월일, 휴대전화번호, 연계정보(CI)가 유출되었습니다. 해커는 2024년 8월과 2025년 2월 두 차례에 걸쳐 공격했습니다.
Q: 개인정보 유출을 예방하려면 어떻게 해야 하나요?
A: 불필요한 개인정보를 수집하지 않고, 웹 방화벽과 취약점 점검을 철저히 하며, 보안 경고가 오면 즉시 대응하는 것이 중요합니다. 비밀번호는 안전한 알고리즘과 솔트값을 적용해 암호화해야 합니다.
