개보위, 대교·영훈의료재단에 과징금 38억

2026.10.30. 공정경제 — 개인정보보호위원회가 웹 취약점 공격으로 회원 약 84만명의 개인정보를 유출당한 교육기업 대교와 영훈의료재단에 총 38억8500만원의 과징금을 부과하기로 했다. 대교는 32억5500만원, 영훈의료재단은 6억3000만원이며 대교에는 처분 사실을 웹사이트에 공표하라는 명령도 내리기로 했다.

개보위는 28일 제21회 전체회의를 열고 개인정보 안전조치 의무를 위반한 두 사업자에 대한 이 같은 처분을 의결했다고 29일 밝혔다.

대교는 눈높이, 차이홍 등 교육 서비스를 운영하고 영훈의료재단은 대전선병원과 유성선병원을 운영한다. 개보위는 대교에 개인정보처리시스템 안전조치 강화와 유출사고 대응체계 정비를 시정명령했다.

대교는 2024년 8월과 지난해 2월 두 차례 해킹을 당해 온라인 교육 서비스 '마카다미아' 회원 약 65만명의 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등이 유출됐다. 해커는 관계사 웹사이트의 웹 취약점으로 웹셸을 올려 악성코드를 실행했다.

대교는 관계사 웹서버에서 회원 데이터베이스(DB)로 직접 연결되는 불필요한 접근을 허용했다. 첫 유출 때 보안관제업체의 이상행위 탐지 안내를 받고도 분석과 차단을 소홀히 했고 개인정보보호책임자(CPO)도 내부 관리계획 이행 점검을 소홀히 했다.

영훈의료재단은 2024년 3월 병원 웹사이트의 SQL 인젝션 취약점 공격으로 회원 18만8481명의 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등이 유출됐다. 재단은 병원 안내와 예약 신청을 보조하는 웹사이트에 관행적으로 회원가입 기능을 뒀다.

웹 방화벽을 설치하지 않았고 취약점 점검과 입력값 검증도 하지 않았다. 비밀번호는 안전하지 않은 알고리즘으로 암호화하고 솔트(Salt) 값을 적용하지 않아 일부가 복호화될 수 있었다. 개보위는 재단에 취약점을 주기적으로 점검하고 개선하라고 시정명령했다.

송경희 개보위원장은 전체회의에서 대교를 두고 "개인정보 수집 규모와 기업 외형에 비해서 보안 관리가 너무 허술했다고 생각이 든다"고 말했다.

해당 처분에는 9월 11일 시행된 개정 개인정보 보호법의 새 과징금 기준이 적용되지 않는다. 개정법은 중대 또는 반복 위반의 과징금 상한을 전체 매출의 3%에서 최대 10%로 높였지만 시행 전 사고에는 소급하지 않는다. 대교와 영훈의료재단의 2024~2025년 사고는 종전 기준으로 처리된다.