個人情報 保護委員會對大教、永勳醫療財團開罰38億韓元

2026.10.30. 公正經濟 — 個人情報 保護委員會決定對因網路漏洞攻擊導致約84萬名會員個人資訊外洩的教育企業大教和永勳醫療財團,共處以38億8500萬韓元(約新台幣8700萬元)的罰款。其中大教為32億5500萬韓元(約新台幣7300萬元),永勳醫療財團為6億3000萬韓元(約新台幣1400萬元),並決定命令大教在其網站上公布此次處分事實。

個人情報 保護委員會29日表示,已於28日召開第21次全體會議,審議通過對違反個人資訊安全措施義務的兩家業者作出上述處分。

大教經營「嫩諾比」、「彩虹」等教育服務,永勳醫療財團則經營大田Sun醫院和儒城Sun醫院。個人情報 保護委員會命令大教強化個人資訊處理系統的安全措施,並整頓外洩事故應對體系。

大教曾於2024年8月及去年2月兩度遭駭客入侵，導致線上教育服務「澳洲堅果屬（Macadamia）」約65萬名會員的姓名、出生日期、手機號碼、連結資訊（CI）等外洩。駭客利用關聯公司網站的網頁漏洞上傳網頁木馬（Webshell），進而執行惡意程式碼。

大教允許從關係企業網路伺服器直接連接至會員資料庫(DB)的不必要存取。首次外洩事故發生時,即便收到資安監控業者的異常行為偵測通報,大教仍疏於分析與阻斷,個人資訊保護負責人(CPO)也疏於檢核內部管理計畫的執行情況。

永勳醫療財團於2024年3月因醫院網站遭SQL注入漏洞攻擊,導致18萬8481名會員的帳號、密碼、姓名、行動電話號碼、出生年月日等遭外洩。該財團在輔助醫院諮詢與預約申請的網站上,慣常設有會員註冊功能。

該財團未裝設網站防火牆,也未進行漏洞檢測與輸入值驗證。密碼採用不安全的演算法加密,且未套用鹽值(Salt),導致部分密碼可被破解還原。個人情報 保護委員會命令該財團定期檢測並改善相關漏洞。

Song Gyeong-hui個人情報 保護委員會委員長在全體會議上針對大教表示:「相較於個人資訊蒐集規模與企業外在規模,資安管理實在太過鬆散。」

此次處分並未適用於9月11日起施行的修正版《個人資訊保護法》新罰款標準。修正法將重大或重複違規的罰款上限,由全體營收的3%提高至最高10%,但不追溯適用於施行前發生的事故。大教與永勳醫療財團在2024至2025年間發生的事故,仍依舊有標準處理。