[딜사이트 박안나 기자] 교육기업 대교가 회원 약 65만명의 개인정보를 유출해 개인정보보호위원회로부터 30억원대 과징금을 부과받았다. 첫 유출 때 보안관제업체로부터 이상행위 탐지 안내를 받고도 제대로 대응하지 않아 같은 방식의 유출이 반복됐다는 개인정보위 판단이다.

개인정보위는 28일 전체회의를 열고 개인정보보호법상 안전조치 의무를 위반한 대교에 과징금 32억5500만원을 부과했다고 밝혔다. 시정명령과 공표명령도 함께 내렸다.

개인정보위에 따르면 해커는 대교 관계사 홈페이지의 웹 취약점을 이용해 웹셸을 올리고 2024년 8월과 2025년 2월 두 차례에 걸쳐 악성코드를 실행했다. 웹셸은 파일 업로드 취약점으로 악성코드를 심어 관리자 권한을 얻고 정보를 빼내는 공격 기법이다.

해커는 관계사 웹서버와 연동된 대교의 온라인 교육 서비스 '마카다미아(macadamia)' 회원 데이터베이스(DB)에 접근했다. 이를 통해 약 65만명의 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등을 빼냈다.

조사 결과 대교는 관계사 웹서버에서 자사 회원 DB로 바로 연결되는 불필요한 접근을 허용하고 있었다. 2024년 8월 첫 유출 당시에는 보안관제업체로부터 이상행위 관련 탐지 안내를 받았다. 그러나 상세 분석이나 차단 같은 대응 조치를 소홀히 했다. 6개월 뒤인 2025년 2월 같은 방식의 접근과 유출이 다시 발생했다.

대교의 개인정보보호책임자(CPO)가 내부 관리계획의 이행실태 점검을 소홀히 한 사실도 확인됐다. 이번 유출의 원인이 된 접근통제도 점검 대상이었다.

개인정보위는 대교에 개인정보처리시스템의 안전조치를 강화하고 유출사고 대응체계 전반을 정비하라고 명령했다. 처분받은 사실은 대교 홈페이지에 공표해야 한다.

개인정보위는 이번 처분으로 주요 서비스 시스템뿐 아니라 관계사와 연결된 서버도 개인정보 유출 경로가 될 수 있음을 확인했다고 밝혔다. 나아가 보안 위협을 탐지하고도 대응하지 않거나 내부 관리계획 이행을 실효적으로 점검하지 않으면 같은 방식의 유출이 반복될 수 있다는 점도 지적했다.