개인정보위, 안전조치 의무 위반 2개 사업자에 38억 8,500만 원 과징금 부과

사실 진술개인정보보호위원회(위원장 송경희, 이하 ‘개인정보위’)는 10월 28일(목) 제21회 전체회의를 열고, 개인정보 보호 법규를 위반한 2개 사업자*에 대해 총 38억 8,500만 원의 과징금을 부과함과 동시에 시정명령 및 공표명령하기로 의결하였다.

사실 진술의료법인 영훈의료재단(대전선병원, 유성선병원) : 의료 서비스 제공 사업자 개인정보위는 개인정보 유출 신고에 따라 조사한 결과, 이들 사업자는 「개인정보 보호법」에 따른 안전조치 의무를 소홀히 한 것으로 확인되었으며, 구체적인 위반 내용과 처분 결과는 다음과 같다.

사실 진술< 주식회사 대교 : 과징금 32억 5,500만 원, 시정명령 및 공표명령 부과 > 신원 미상의 자(이하 ‘해커’)는 관계사 홈페이지의 웹 취약점을 이용해 웹셸*을 업로드하고, 2024년 8월과 2025년 2월 두 차례에 걸쳐 악성코드를 실행하였다.

사실 진술이를 통해, 관계사 웹서버와 연동된 ㈜대교의 온라인 교육 서비스(macadamia) 회원 데이터베이스(DB)에서 약 65만 명의 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등 개인정보를 유출하였다.

사실 진술이에, 개인정보위는 ㈜대교에 과징금 32억 5,500만 원을 부과함과 동시에 개인정보처리시스템에 대한 안전조치 강화 및 전반적인 유출사고 대응체계를 정비할 것을 시정명령하고, 사업자 홈페이지에 처분받은 사실을 공표하도록 명령하였다.

사실 진술< 의료법인 영훈의료재단(대전선병원, 유성선병원) : 과징금 6억 3,000만 원 부과 > 해커는 2024년 3월 영훈의료재단이 운영하는 병원 홈페이지 내 SQL 인젝션 취약점*을 공격하여 병원 홈페이지 회원으로 가입한 188,481명의 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등 개인정보를 유출하였다.

사실 진술이에, 개인정보위는 영훈의료재단에 과징금 6억 3,000만 원을 부과함과 동시에 개인정보처리시스템에 대한 주기적인 취약점 점검 및 개선 조치를 이행할 것을 시정명령하였다.