대교는 관계사 서버를 통해 65만 명의 정보가 샜다.
개인정보보호위원회(위원장 송경희)가 개인정보 유출 사고를 낸 ㈜대교에 과징금을 부과했다. 대교는 접근통제 등 안전조치 의무를 소홀히 한 것으로 확인됐다.
지난 28일 개인정보위는 제21회 전체회의를 열고 「개인정보 보호법」을 위반한 사업자에 과징금 부과와 함께 시정명령, 공표명령을 하기로 의결했다.
눈높이·차이홍 등 온·오프라인 종합 교육 서비스를 운영하는 ㈜대교에는 32억5500만 원이 부과됐다. 위반 조항은「개인정보 보호법」 제29조(안전조치의무)다.
■관계사 홈페이지 취약점 통로…같은 수법에 6개월 만에 또
대교의 유출은 관계사 홈페이지에서 시작됐다.
신원 미상의 해커가 관계사 홈페이지의 웹 취약점을 이용해 웹셸(Web Shell)을 올린 뒤, 2024년 8월과 2025년 2월 두 차례 악성코드를 실행했다. 웹셸 공격은 파일 업로드 취약점을 통해 시스템에서 돌아가는 악성코드를 심고 관리자 권한을 얻어 정보를 빼내는 기법이다.
이 과정에서 관계사 웹서버와 연동된 대교의 온라인 교육 서비스 '마카다미아(Macadamia)' 회원 DB에서 약 65만 명의 이름, 생년월일, 휴대전화번호, 연계정보(CI)가 빠져나갔다.
개인정보위 조사에서 대교는 관계사 웹서버에서 자사 회원 DB로 곧바로 연결되는 불필요한 접근 경로를 열어 둔 것으로 확인됐다. 첫 유출이 일어난 2024년 8월에는 보안관제업체로부터 이상행위 탐지 안내까지 받았지만, 상세 분석과 차단 같은 대응을 하지 않았다. 그 결과 2025년 2월 같은 방식의 접근과 유출이 되풀이됐다.
개인정보보호책임자(CPO)의 책임도 지적됐다. 이번 사고의 원인이 된 접근통제 사항 등 내부 관리계획이 제대로 이행되고 있는지 점검하지 않았다는 것이다.
개인정보위는 대교에 과징금과 함께 개인정보처리시스템의 안전조치를 강화하고 유출사고 대응체계를 정비하라는 시정명령을 내렸다.
처분 사실은 대교 홈페이지에 공표하도록 했다.
■개인정보위 "보조 홈페이지·관계사 서버" 점검 당부
개인정보위는 이번 처분이 주요 서비스 시스템뿐 아니라 관계사와 연결된 서버, 서비스 운영을 돕는 홈페이지도 유출 경로가 될 수 있음을 확인했다는 데 의미가 있다고 설명했다.
보안 위협을 탐지하고도 대응하지 않거나 내부 관리계획 이행을 실효성 있게 점검하지 않으면 같은 방식의 유출이 반복될 수 있다는 점에서, 개인정보보호책임자의 경각심을 높이는 계기가 될 것으로 기대한다고도 했다.
개인정보위는 "홈페이지 회원가입 기능의 필요성을 검토해 불필요한 개인정보 수집을 막고, 운영 중인 개인정보처리시스템 현황을 파악해 웹셸·SQL 인젝션 같은 알려진 웹 취약점 공격에 대비한 점검과 이상행위 탐지·대응체계를 강화하라"고 당부했다.
[컨슈머치 = 이용석 기자]