"306만명 개인정보 유출"…개인정보위, 모두투어에 7억 과징금 부과 작성일 03-13 152 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">웹셀 공격으로 회원·비회원 생년월일·휴대전화번호 등 탈취</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="274dOu1mSe"> <p contents-hash="66b8a22fe80c6c06e1a704bd359d2fcfa48e825357b4105743a6c2330c436303" dmcf-pid="Vz8JI7tslR" dmcf-ptype="general">[아이뉴스24 윤소진 기자] 개인정보보호위원회(개인정보위)는 개인정보 보호 법규를 위반해 306만명의 개인정보를 유출한 혐의를 받고 있는 모두투어네트워크에 총 7억5720만원의 과징금 및 과태료를 부과했다고 13일 밝혔다.</p> <figure class="figure_frm origin_fig" contents-hash="103cae14e45e79c524861a7fffb80cc87b7787394c7ab79b67a947f74dff7b0a" dmcf-pid="fq6iCzFOWM" dmcf-ptype="figure"> <p class="link_figure"><img alt="모두투어 개인정보 유출 개요. [사진=개인정보위]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202503/13/inews24/20250313152802567huaa.jpg" data-org-width="580" dmcf-mid="9O6iCzFOld" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202503/13/inews24/20250313152802567huaa.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 모두투어 개인정보 유출 개요. [사진=개인정보위] </figcaption> </figure> <p contents-hash="421677cd6b7a0a2513fe3d8720ee49c6611826f79982c8c0aace41309b76f27b" dmcf-pid="4BPnhq3Ivx" dmcf-ptype="general">무두투어네트워크은 온·오프라인 여행 중개 서비스 ‘모두투어’의 운영 사업자다. 개인정보위는 지난해 지난해 7월 모두투어네트워크의 개인정보 유출 신고에 조사에 착수했다. 그 결과 개인정보 보호법(보호법)에 따른 안전조치 의무와 개인정보 파기 및 유출 통지 의무를 소홀히 한 사실을 확인했다.</p> <p contents-hash="5d6df0b734b057a8142fa2ae29c6709b62f436c3e66e3e43b1a868c770c93567" dmcf-pid="8bQLlB0CCQ" dmcf-ptype="general">구체적으로는 지난해 6월 신원 미상의 해커가 모두투어네트워크가 운영 중인 웹페이지의 파일 업로드 취약점을 이용해 다수의 웹셸 파일을 업로드했다. 이 파일에 존재하는 악성코드를 실행해 고객 정보 데이터베이스(DB)에서 회원·비회원 306만여명의 개인정보(한글이름, 영문이름, 생년월일, 성별, 휴대전화번호 등)를 탈취했다.</p> <p contents-hash="ffe41649bd624994ec038b0dbe7e522d9b23e621211727062e8d22414e42450d" dmcf-pid="6KxoSbphlP" dmcf-ptype="general">웹셸 공격은 특정 웹페이지의 파일 업로드 취약점(파일 업로드 기능을 이용해 비정상적인스크립트 파일 등을 실행)을 통해 시스템에서 실행가능한 악성코드를 삽입 및 실행해 관리자 권한 획득, 개인정보 탈취 등을 행하는 공격 기법이다.</p> <p contents-hash="b20f423da719c6b66e426d71cc9004ae288f6253b396a264eed5907037f35bfb" dmcf-pid="PnEhUiQ0h6" dmcf-ptype="general">개인정보위 조사 결과에 따르면 모두투어네트워크는 해커의 웹셸 공격을 예방하기 위해 업로드된 파일에 대한 파일 확장자 검증 및 실행권한 제한 등 보안 취약점 점검·조치를 취해야 했지만 이를 소홀히 했다. 개인정보 유출 시도를 탐지·대응하기 위한 접근통제 조치도 미흡했던 것으로 밝혀졌다.</p> <p contents-hash="bf5a5c1e33ff53cee0ff9976c71c35cf7272cc9016843cd3149cec8eb6873bb8" dmcf-pid="QLDlunxph8" dmcf-ptype="general">모두투어네트워크는 2013년 3월부터 수집한 비회원 316만여건(중복 포함)의 개인정보를 보유기간이 경과됐음에도 파기하지 않고 보유하고 있어 대규모 유출에 영향을 끼쳤다.</p> <p contents-hash="2e0880a915f5e1e831d7a10979f172a2f1de039176c6e09ad832ef55e066c84d" dmcf-pid="xowS7LMUS4" dmcf-ptype="general">2024년 7월 개인정보 유출 사실을인지했음에도 정당한 사유 없이 2개월이 지난 같은해 9월에야 개인정보 유출사실을 통지했다.</p> <p contents-hash="f9ea6f3fdb10a268e9b468a7d8a453451951dbf3e6bcd96e1d08d2337ccd687c" dmcf-pid="ytB6k1WACf" dmcf-ptype="general">이에 개인정보위는 모두투어네트워크에 과징금 7억4700만원과 과태료 1020만원을 부과하고, 사업자 홈페이지에 처분받은 사실을 공표하도록 명령했다. 이와 함께 향후 유출통지 지연 행위 등이 재발하지 않도록 내부 개인정보 보호 관리체계 개선을 요구했다.</p> <p contents-hash="5f204c529894526fbe99258a44a15e2d9fc6fc01070bb36734b81ab8b31d7fe1" dmcf-pid="WFbPEtYcSV" dmcf-ptype="general">개인정보위는 "대규모 개인정보 처리 사업자는 보유기간 경과, 처리목적 달성 등 수집한 개인정보가 불필요하게 됐을을 때는 지체없이 파기해 혹시 모를 개인정보 유출사고 발생 시 피해 규모를 최소화해야 한다"며 "정보주체의 2차 피해 예방 등을 위해 개인정보 유출 사실 인지 즉시 통지가 이뤄질 수 있도록 내부 개인정보 보호 체계를 정비해야 한다"고 당부했다.</p> <address contents-hash="71e9d6cd32e5765437a6c43c862ba2330b8b99b46ca45b1b7ef0bfdae658f520" dmcf-pid="Y3KQDFGkh2" dmcf-ptype="general">/윤소진 기자<span>(sojin@inews24.com)</span> </address> </section> </div> <p class="" data-translation="true">Copyright © 아이뉴스24. 무단전재 및 재배포 금지.</p> 관련자료 이전 오종혁 "생계 책임져야 했다, 1년 中 5일 쉬어"...딸 향한 진심 '뭉클' (슈돌) 03-13 다음 국민체육진흥공단, 올해 체육 분야에 1조3215억원 지원 03-13 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
