6개월 만에 같은 해킹 또 당한 대교…65만명 개인정보 유출 작성일 10-29 15 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">개인정보위 대교·영훈의료재단 제재<br>각각 32.5억원과 6억원 과징금 부여<br>웹 방화벽 없이 알려진 취약점도 방치<br>일부 비밀번호 복호화 가능한 상태로 보관</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="P2K0swV7ld"> <figure class="figure_frm origin_fig" contents-hash="6351028962e73697ba6cd3155339ae81a474b18d92c332fc237a364733dc5824" dmcf-pid="QV9pOrfzye" dmcf-ptype="figure"> <p class="link_figure"><img alt="송경희 개인정보보호위원회 위원장이 8월 26일 수요일 정부서울청사에서 개최된 제17회 전체회의에서 모두발언을 하고 있다. <사진=개인정보위>" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/29/mk/20261029114804774tdoz.jpg" data-org-width="700" dmcf-mid="6dM2YTd8lJ" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/29/mk/20261029114804774tdoz.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 송경희 개인정보보호위원회 위원장이 8월 26일 수요일 정부서울청사에서 개최된 제17회 전체회의에서 모두발언을 하고 있다. <사진=개인정보위> </figcaption> </figure> <div contents-hash="724853be906399277d3afdda5b65441f13cb85ac92cd666203982d994fb15dd3" dmcf-pid="xZHhJR5TvR" dmcf-ptype="general"> 교육기업 대교가 해킹으로 약 65만명의 개인정보를 유출한 것으로 나타났다. 첫 번째 유출 당시 보안관제업체로부터 이상행위 탐지 안내까지 받고도 제대로 대응하지 않았다는 점이 문제로 지적됐다. </div> <p contents-hash="a07e2e2e30751e365894593d12466d128d9db85c1b441405bf1762e1169a4aa6" dmcf-pid="yid4XYnQvM" dmcf-ptype="general">29일 개인정보보호위원회는 개인정보 보호법상 안전조치 의무를 위반한 대교와 의료법인 영훈의료재단에 각각 32억5500만원과 6억3000만원의 과징금을 부과했다고 밝혔다. 두 사업자에 부과된 과징금은 총 38억8500만원이다. 개인정보위는 두 사업자에 시정명령을 내리고 대교에는 처분 사실을 홈페이지에 공개하도록 공표명령도 내렸다.</p> <p contents-hash="dd83c4ca5882137222989c80a9af2bda61834398432d9e68f952192351e49f7f" dmcf-pid="WnJ8ZGLxlx" dmcf-ptype="general">대교는 한 차례 개인정보가 유출되고도 같은 공격을 막지 못했다. 해커는 대교 관계사 홈페이지의 웹 취약점을 이용해 시스템에서 실행할 수 있는 악성코드인 ‘웹셸’을 심었다. 이후 관계사 웹서버와 연결된 대교 온라인 교육서비스 ‘마카다미아’ 회원 데이터베이스(DB)에 접근했다.</p> <p contents-hash="d633ab0a9ecb95a1de730d77413b1b04f0720a954d1a856bde000af48c371267" dmcf-pid="YLi65HoMhQ" dmcf-ptype="general">해커는 지난 2024년 8월과 지난해 2월 두 차례에 걸쳐 약 65만명의 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등을 빼냈다. 웹셸은 홈페이지의 파일 업로드 등 취약점을 이용해 악성코드를 심은 뒤 서버에 침투하는 공격 방식이다.</p> <p contents-hash="6a1f647e980d76feada3b79d99df973bee3c315c596675faf74849b1dfb9b6f6" dmcf-pid="GonP1XgRyP" dmcf-ptype="general">문제는 첫 번째 공격 이후에도 취약한 구조가 그대로 남아 있었다는 점이다. 개인정보위 조사 결과 대교는 관계사 웹서버에서 회원 DB로 직접 연결할 수 있는 불필요한 접근경로를 허용하고 있었다.</p> <p contents-hash="2fb8b10f5bf7dafc7ad06efbb808de0a76b21e4d232f45f993ae29f4b1b81e77" dmcf-pid="HgLQtZaeT6" dmcf-ptype="general">대교는 2024년 8월 첫 유출 당시 보안관제업체로부터 이상행위와 관련한 보안탐지 안내도 받았다. 하지만 상세 분석과 차단 등 후속 대응을 제대로 하지 않았고 지난해 2월 동일한 방식으로 다시 접근과 개인정보 유출이 발생했다. 개인정보보호책임자(CPO) 역시 접근통제 등 내부 관리계획이 제대로 이행되는지 점검하는 데 소홀했던 것으로 조사됐다.</p> <p contents-hash="6aa39ab5d97fcb010d586ed2967bd2f296c7d09d8ad3886ab4eb5ebb0e7f5022" dmcf-pid="XaoxF5Ndv8" dmcf-ptype="general">병원에서는 보조 홈페이지에 관행적으로 만들어둔 회원가입 기능이 개인정보 유출의 빌미가 됐다.</p> <p contents-hash="df13968302f4452b3fe5d605e394add0e664a26a91dcabf838f189ff4f2ca9fb" dmcf-pid="ZNgM31jJC4" dmcf-ptype="general">영훈의료재단이 운영하는 대전선병원과 유성선병원에서는 홈페이지 회원 18만8481명의 개인정보가 유출됐다. 해커는 2024년 3월 홈페이지의 ‘SQL 인젝션’ 취약점을 공격해 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등을 빼냈다. SQL 인젝션은 웹사이트 입력란에 정상적인 값 대신 데이터베이스를 조작할 수 있는 명령어를 입력해 정보를 빼내는 공격 방식이다.</p> <p contents-hash="a6f2ed476b23956e2433586c76ea6f58945a46e1e2335be8479692ed12eaeb30" dmcf-pid="5GWORQHlvf" dmcf-ptype="general">개인정보위 조사 결과 영훈의료재단은 병원 안내와 게시판, 예약 등을 위한 홈페이지에 회원가입 기능을 두고 개인정보를 수집해왔다. 하지만 웹 공격을 탐지하고 차단할 웹 방화벽을 설치하지 않았고 SQL 인젝션 등 알려진 웹 취약점에 대한 점검도 하지 않았다. 홈페이지에 입력되는 값이 악성 명령어인지 확인하는 프로그램도 갖추지 않았다.</p> <p contents-hash="edb06bfdcf18049421e22dc3ccef4d910ae867011c3ba654e04c7da2d24b3e33" dmcf-pid="1HYIexXSCV" dmcf-ptype="general">비밀번호 관리에도 문제가 있었다. 안전하지 않은 암호화 알고리즘을 사용했으며, 같은 비밀번호가 동일한 암호값으로 저장되는 것을 막는 ‘솔트값’도 적용하지 않았다. 이 때문에 일부 회원의 비밀번호는 복호화가 가능한 상태였던 것으로 조사됐다.</p> <p contents-hash="089e369c8fdb697ca424ea5a6b73df00caa2f48ab5f33af5770f6e893880c12d" dmcf-pid="tXGCdMZvT2" dmcf-ptype="general">최근 이번 사고처럼 관계사 서버나 보조 홈페이지가 전체 시스템을 뚫는 통로가 되는 흐름이 이어지고 있다. 대교는 관계사 웹서버와 핵심 회원 DB 사이에 불필요한 연결경로를 열어뒀고 영훈의료재단은 병원 운영을 보조하는 홈페이지에서 필요성을 충분히 따지지 않은 채 개인정보를 수집했다.</p> <p contents-hash="402d5ead5ea1c4758a08abbb4bf499ebff12901549bc3208523fb012030352a3" dmcf-pid="FZHhJR5Tv9" dmcf-ptype="general">개인정보위는 기업이 운영 중인 개인정보처리시스템을 전수 파악하고 불필요한 회원가입과 개인정보 수집을 줄여야 한다고 당부했다. 웹셸과 SQL 인젝션처럼 이미 알려진 공격에 대비해 웹 취약점을 주기적으로 점검하고 이상행위 탐지 이후 실제 차단으로 이어지는 대응체계도 강화해야 한다고 강조했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 매일경제 & mk.co.kr. 무단 전재, 재배포 및 AI학습 이용 금지</p> 관련자료 이전 [ZD e게임] 싱글 액션의 손맛 품은 MMORPG, '아키에이지 크로니클' 해보니 10-29 다음 영업부터 채용까지 AI가 분담…한컴 ‘노마디안’ 미국 진출 10-29 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
