위더스교육·뉴지스탁·창비, 해킹 공격으로 회원 개인정보 유출

개인정보위, 기업 3곳 제재
해킹 등 보안 점검 소홀
장기 미이용 개인정보 미파기

윤정태 개인정보보호위원회 조사2과장이 8일 정부서울청사 합동브리핑룸에서 ‘개인정보보호 법규 위반 3개 사업자 제재’ 결과를 설명하는 브리핑을 하고 있다. 개인정보보호위원회 제공

온라인으로 원격평생교육원 서비스를 제공하는 기업 위더스교육이 해킹 공격을 받아 수강생의 이름과 연락처 등이 포함된 개인정보를 유출해 개인정보보호위원회로부터 3700만원의 과징금과 1000만원의 과태료를 부과받았다.

개인정보위는 8일 제10차 전체회의를 열고 개인정보 보호 법규를 위반한 3개 사업자에 총 3700만원의 과징금과 2140만원의 과태료를 부과하기로 의결했다. 개인정보위에 따르면, 위더스교육은 파일을 온라인에 올릴 때 보안 취약사항을 제대로 점검하지 않았다. 이로 인해 웹셸에 의한 해킹 공격을 받아 수강생의 이름과 연락처 등 개인정보가 유출됐다. 웹셸이란 시스템에 명령을 내릴 수 있는 코드다. 보안 취약점을 이용해 웹 서버에 웹셸을 깐 뒤 이를 통해 보안시스템을 우회해 별도 인증을 받지 않고 시스템을 원격으로 조종하는 식으로 해킹 공격이 이뤄진다.

위더스교육은 침입 탐지·차단 시스템도 소홀하게 운영한 것으로 드러났다. 탈퇴 이용자의 개인정보를 즉시 파기하지 않았고, 1년 이상 장기 미이용자 개인정보를 다른 이용자 개인정보와 분리해 별도 보관해야 할 의무도 지키지 않았다.

주식 데이터분석 서비스 기업 뉴지스탁도 웹셸에 의한 해킹 공격을 받아 이용자 연락처 등 개인정보를 유출했다. 뉴지스탁은 누리집 자유게시판의 보안 취약 사항 등을 점검하지 않은 것으로 드러났다. 개인정보위는 뉴지스탁에 시정명령과 함께 과태료 360만원을 부과했다.

온라인 도서 누리집을 운영하는 창비는 에스큐엘(SQL) 질의명령문과 같은 누리집 입력값에 대한 검증을 소홀히 해 개인정보를 노출시켰다. 개인정보 취급자의 접속 기록을 남기지 않는 등 기술적·관리적 보호조치 의무도 소홀히 했다. 창비는 개인정보처리시스템을 운영하면서 안전한 인증수단을 적용하지 않았고, 1년 이상 장기 미이용자의 개인정보를 파기하거나 분리해 별도 보관하지도 않은 것으로 드러났다. 개인정보위는 창비에 시정명령과 함께 과태료 780만원을 부과했다.

양청삼 개인정보위 조사조정국장은 “비대면 활동이 늘면서 해커의 공격으로 인한 개인정보 유출 사고가 지속적으로 발생하고 있다”며 “사업자가 보안 취약점을 주기적으로 확인해 개인정보처리시스템에 대한 불법 접근을 막고, 안전조치 의무 준수 여부를 상시 점검해야 한다”고 말했다.

정인선 기자 [e-mail]