그림으로 보기
진행 단계개인정보위가 확인한 잘못결과(유출)
- 첫 유출 — 보안관제업체로부터 이상행위 보안탐지 안내를 받음
- 상세 분석·차단 등 탐지와 대응 조치를 소홀히 함
- 동일한 방식의 접근 및 유출이 또 다시 발생
- CPO가 내부 관리계획 이행실태(접근통제 등) 점검을 소홀히 함
| 사업자 | 위반 내용 | 과징금 | 시정명령 | 공표명령 |
|---|---|---|---|---|
| 주식회사 대교 | 안전조치의무 위반(접근통제, 내부 관리계획 점검) | 32억 5,500만 원 | 안전조치 강화, 유출사고 대응체계 정비 | 있음 |
| 의료법인 영훈의료재단 | 안전조치의무 위반(접근통제, 암호화) | 6억 3,000만 원 | 주기적 취약점 점검·개선 조치 이행 | 없음 |
면책 — 일반 정보 정리이며 법률 자문 아님. 기준일자 2026-11-02(열람일). 출처(1차-PIPC) — 개인정보보호위원회 보도자료, 2026.10.29.(목) 11:00 보도 / 2026.10.28.(수) 20:00 배포. 게시글: https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12600 (작성부서 조사2과, 작성일 2026-10-29) 원문 사본:
refs/2026-11-02_pipc_raw/nttId12600.html(게시글),press.pdf(첨부 PDF 5쪽). 아래 내용은 모두 이 원문에 있는 것만 옮겼다.
1. 개요
| 항목 | 내용 |
|---|---|
| 의결 | 개인정보위 제21회 전체회의 (2026년 10월 28일) |
| 대상 | 2개 사업자 — 주식회사 대교(눈높이·차이홍 등 온·오프라인 종합 교육 서비스), 의료법인 영훈의료재단(대전선병원·유성선병원, 의료 서비스) |
| 계기 | 개인정보 유출 신고에 따른 조사 |
| 위반 조항 | 「개인정보 보호법」 제29조(안전조치의무) — 두 사업자 모두 |
| 처분 합계 | 과징금 총 38억 8,500만 원 + 시정명령 + 공표명령(대교만) |
2. 사업자별 내용
| 구분 | 주식회사 대교 | 의료법인 영훈의료재단 |
|---|---|---|
| 공격 방식 | 관계사 홈페이지 웹 취약점으로 웹셸 업로드 → 2024년 8월·2025년 2월 두 차례 악성코드 실행 | 병원 홈페이지 SQL 인젝션 취약점 공격 (2024년 3월) |
| 유출 규모 | 온라인 교육 서비스(macadamia) 회원 DB에서 약 65만 명 | 홈페이지 회원 188,481명 |
| 유출 항목 | 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등 | 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등 |
| 확인된 잘못 | ① 관계사 웹서버에서 대교 회원 DB로 직접 연결되는 불필요한 접근 허용 ② 2024년 8월 첫 유출 때 보안관제업체의 이상행위 탐지 안내를 받고도 상세 분석·차단 등 대응을 소홀히 해 2025년 2월 같은 방식으로 재유출 ③ 개인정보보호책임자(CPO)가 내부 관리계획 이행실태(접근통제 등) 점검 소홀 | ① 병원 안내·게시판·예약신청용 보조 홈페이지에 관행적으로 회원가입 기능을 두어 개인정보 수집 ② 웹 방화벽 등 미설치·미운영 ③ SQL 인젝션 등 웹 취약점 점검, 입력값 검증 프로그램 구현 안 함 ④ 비밀번호를 안전하지 않은 암호 알고리즘으로 암호화하고 솔트 값을 쓰지 않아 일부 비밀번호 복호화 가능 |
| 위반 내용(붙임 표) | 안전조치의무 위반(접근통제, 내부 관리계획 점검) | 안전조치의무 위반(접근통제, 암호화) |
| 과징금 | 32억 5,500만 원 | 6억 3,000만 원 |
| 시정명령 | 개인정보처리시스템 안전조치 강화, 유출사고 대응체계 정비 | 개인정보처리시스템 주기적 취약점 점검·개선 조치 이행 |
| 공표명령 | 사업자 홈페이지에 처분 사실 공표 | 없음 |
용어: 웹셸 = 파일 업로드 취약점으로 서버에서 실행되는 악성코드를 심어 관리자 권한 획득·정보 탈취를 하는 공격 / SQL 인젝션 = 입력 칸에 정상 값 대신 데이터베이스 명령어를 넣어 결과를 조회하는 공격 / 솔트 = 같은 비밀번호가 같은 해시값이 되지 않도록 암호화 전에 덧붙이는 임의의 값 (모두 보도자료의 풀이).
3. 개인정보위가 밝힌 의의와 당부
- 주요 서비스 시스템뿐 아니라 관계사와 연결된 서버나 운영을 보조하는 홈페이지도 유출 경로가 될 수 있음을 확인했다.
- 관행적으로 수집하는 개인정보의 현황 파악과 안전조치 점검이 중요하다.
- 보안 위협을 탐지하고도 대응하지 않거나 내부 관리계획 이행을 실효적으로 점검하지 않으면 같은 방식의 유출이 반복될 수 있다 — CPO의 경각심을 높이는 계기.
- 당부: 홈페이지 회원가입 기능의 필요성을 검토해 불필요한 수집을 막고, 개인정보처리시스템 현황을 파악해 웹셸·SQL 인젝션 등 잘 알려진 웹 취약점에 대비한 점검, 이상행위 탐지·대응체계를 강화할 것.
4. 원문 표기 주의 (확인 사항)
- 본문은 의결일을 "10월 28일(목)"로 적었으나, 같은 보도자료 머리의 배포일은 "2026.10.28.(수)"이고 실제 2026년 10월 28일은 수요일이다 → 요일 표기 오류로 보이며 날짜(10월 28일)는 일치. 해석
- 첨부 파일명은 "(조사1 2과)", 게시글 작성부서는 "조사2과" — 담당 부서표에 조사2과(총괄)·조사1과·KISA 유출조사팀(공동)이 함께 나온다.
- 보도자료는 「개인정보 보호법」 제29조만 적었고, 시행령·「개인정보의 안전성 확보조치 기준」의 세부 조문 번호, 과징금 산정 내역, 의결서는 싣지 않았다 → 세부 근거는 의결서 공개 후 확인 필요. 미확인
5. 의료분야 문서와의 연결
- 의료기관(영훈의료재단)에 「의료법」이 아니라 「개인정보 보호법」 제29조 안전조치 의무로 과징금이 부과된 사례다. 안전조치 의무·시행령 제30조·안전성 확보조치 기준의 내용은
docs/의료분야_정보보호_법령_정리.md3-5절, 과징금 상한(전체 매출액의 100분의 3 등)은 11-2절 참조. - 그 문서는 "판례·행정처분 사례는 다루지 않음"으로 되어 있으므로, 이 사례를 넣을지는 별도 결정 사항.