개인정보 유출사고 개요 / 개인정보보호위원회.

개인정보 안전조치에 소홀해 학내 구성원 개인정보 유출 사태를 초래한 전북대, 이화여대에 과징금 9억6000여 만원이 부과됐다.

개인정보보호위원회 개인정보 보호법을 위반해 개인정보를 유출한 전북대학교와 이화여자대학교에 총 9억6600만원의 과징금과 540만원의 과태료를 부과하고 시정명령, 공표명령 및 징계권고를 하기로 결정했다고 12일 밝혔다.

개인정보 유출에 따른 피해 규모 등을 고려, 전북대학교(32만여 명 유출)는 6억2300만 원, 이화여자대학교(8만3000여 명 유출)는 3억4300만원을 각 부과했단 설명이다.

이들 학교 개인정보 유출 신고에 따라 조사한 결과, 이들 대학의 학사정보시스템에 구축 당시부터 취약점이 존재해왔다.

일과시간 외 야간 및 주말엔 외부의 불법 접근을 탐지, 차단하는 모니터링이 제대로 이뤄지지 않는 등 개인정보 보호법에 따른 안전조치 의무를 소홀히 한 사실을 확인했다.

작년 7월 해커가 전북대 에스큐엘(SQL) 인젝션 및 파라미터(입력값) 변조 공격을 통해 전북대학교 학사행정정보시스템에 침입해 32만여 명의 개인정보(주민등록번호 28만여 건 포함)를 탈취했다.

개인정보위 조사 결과, 해커는 학사행정정보시스템의 비밀번호 찾기 페이지에 존재하는 취약점을 악용, 학번 정보를 입수한 후 학적정보 조회 페이지 등에서 약 90만 회의 파라미터 변조 및 무작위 대입을 통해 전북대학교 학생 및 평생교육원 홈페이지 회원 총 32만여 명의 개인정보에 접근한 것으로 파악됐다. 해당 취약점은 2010년 12월 시스템 구축 당시부터 존재했다는 게 정보위 측 설명이다.

전북대학교는 기본적 보안 장비는 갖추고 있었지만 외부 공격에 대한 대응이 미흡했다. 특히 일과시간 외에는 모니터링을 소홀히 한 결과 주말과 야간에 발생한 비정상적 트래픽 급증 현상을 2024년 7월 29일 오후에야 뒤늦게 인지한 것으로 드러났다.

개인정보위는 과징금과 함께 대학 홈페이지에 공표하도록 명했고 모의해킹 등 취약점 점검을 강화하고 상시 모니터링 체계를 구축하도록 시정명령 함과 동시에 책임자에 대한 징계도 권고했다.

작년 9월 이대에선 해커가 시스템의 데이터베이스(DB) 조회 기능의 취약점을 악용한 파라미터 변조 공격으로 이화여자대학교 통합행정시스템에 침입하여 8만3000여 명의 주민등록번호를 포함한 개인정보를 탈취했다.

개인정보위 조사 결과, 해커는 통합행정시스템에 접근해 약 10만 회의 파라미터 변조 및 무작위 대입을 통해 이화여자대학교 학부생 및 학부 졸업생 8만3000여 명의 개인정보를 탈취한 것으로 드러났다.

이대 역시 이러한 취약점이 10년 전 11월 시스템 구축 당시부터 존재해 왔던 것으로 나타났다.

마찬가지로 기본적인 보안 체계는 갖추고 있었으나 외부 공격(동일한 IP에서 타인의 개인정보를 반복적으로 조회 시도하는 경우 등)에 대한 대응이 미흡했다. 특히 일과시간 외에는 주말과 야간 모니터링을 소홀히 하는 등 외부의 불법적인 접근 통제 조치가 미흡했던 것으로 밝혀졌다.

키워드#개인정보

출처 : 안전신문(https://www.safetynews.co.kr)