個人情報保護委、テギョ・ヨンフン医療財団に課徴金38億ウォン

2026.10.30. 公正経済 — 個人情報保護委員会は、ウェブの脆弱性を突いた攻撃で会員約84万人分の個人情報が流出した教育企業テギョとヨンフン医療財団に対し、総額38億8500万ウォン（約4億3100万円）の課徴金を科すことを決めた。テギョには32億5500万ウォン（約3億6100万円）、ヨンフン医療財団には6億3000万ウォン（約7000万円）が科され、テギョには処分内容をウェブサイトに公表するよう命令も下すことにした。

個人情報保護委員会は28日、第21回全体会議を開き、個人情報の安全措置義務に違反した両事業者に対するこうした処分を議決したと29日明らかにした。

テギョはヌンノピ、チャイホンなどの教育サービスを運営し、ヨンフン医療財団はテジョンソン病院とユソンソン病院を運営している。個人情報保護委員会はテギョに対し、個人情報処理システムの安全措置強化と流出事故対応体系の整備を命じる是正命令を出した。

テギョは2024年8月と2025年2月の2回にわたりハッキングを受け、オンライン教育サービス「マカダミア」の会員約65万人分の氏名、生年月日、携帯電話番号、連携情報（CI）などが流出した。ハッカーは関係会社のウェブサイトの脆弱性を突いてウェブシェルを設置し、悪性コードを実行した。

テギョは関係会社のウェブサーバーから会員データベース（DB）に直接接続できる不要なアクセスを許容していた。最初の流出時にはセキュリティー監視業者から異常行動検知の通知を受けたにもかかわらず、分析と遮断を怠り、個人情報保護責任者（CPO）も内部管理計画の履行点検を疎かにしていた。

ヨンフン医療財団は2024年3月、病院ウェブサイトのSQLインジェクション脆弱性を突いた攻撃を受け、会員18万8481人分のID、パスワード、氏名、携帯電話番号、生年月日などが流出した。財団は病院案内や予約申請を補助するウェブサイトに、慣例的に会員登録機能を設けていた。

ウェブファイアウォールを設置しておらず、脆弱性点検や入力値の検証も行っていなかった。パスワードは安全性の低いアルゴリズムで暗号化され、ソルト（Salt）値も適用されていなかったため、一部が復号される可能性があった。個人情報保護委員会は財団に対し、脆弱性を定期的に点検し改善するよう是正命令を出した。

ソン・ギョンヒ個人情報保護委員長は全体会議で、テギョについて「個人情報の収集規模や企業の規模に比べ、セキュリティー管理があまりにずさんだったと思う」と述べた。

今回の処分には、9月11日に施行された改正個人情報保護法の新しい課徴金基準は適用されない。改正法は重大または繰り返しの違反に対する課徴金の上限を全体売上高の3%から最大10%に引き上げたが、施行前の事故には遡及しない。テギョとヨンフン医療財団の2024~2025年の事故は、従来の基準で処理される。