[개인정보위/CTN]가요진 기자= 개인정보보호위원회(위원장 송경희, 이하 '개인정보위')는 11월 20일 제23회 전체회의를 열고, 개인정보 보호 법규를 위반한 3개 사업자에 대해 총 1억 7,760만 원의 과징금 및 540만 원의 과태료를 부과하고, 그 결과를 공표할 것을 의결했다고 밝혔다.

이들 3개 사업자는 모두 에스큐엘(이하 'SQL') 삽입 공격으로 회원 정보가 유출되었으며, 구체적인 위반 내용과 처분 결과는 다음과 같다.

㈜이젠은 3년간(21년8월 ~ 24년8월) 홈페이지 대상 SQL 삽입 공격으로 회원 69,930명의 개인정보(성명, 전화번호, 이메일 등)가 유출되어 텔레그램에 게시됐고, 이중 35,454명은 암호화되지 않은 주민등록번호가 유출됐다. 조사결과, ㈜이젠은 SQL 삽입 공격에 대한 취약점 점검·조치 및 개인정보 유출 시도 탐지·차단을 소홀히 한 사실이 있으며, 주민등록번호 암호화 조치 미흡, 개인정보 유출통지 및 신고를 지연한 사실도 확인됐다.

㈜더존하우징은 ’23.12월 해커의 SQL 삽입 공격으로 회원 33,879명의 개인정보(아이디, 비밀번호, 이름, 전화번호 등)가 유출되어 텔레그렘에 게시됐다. 조사결과, ㈜더존하우징은 SQL 삽입 공격을 사전에 탐지·차단하는 시스템을 운영하지 않고 취약점에 대한 점검·조치를 미흡하게 한 사실이 확인됐으며, 회원 비밀번호에 대한 암호화 조치 미흡, 데이터베이스(DB) 접속기록 관리 소홀 등도 추가로 확인됐다.

㈜레저플러스는 두 차례에 걸친 SQL 삽입 공격(24년9월, 24년10월)으로 회원 160,807명의 개인정보(고객명, 휴대폰번호, 비밀번호 등)가 유출됐다. 조사결과, ㈜레저플러스는 SQL 삽입 공격 취약점 관리를 소홀히 했고 개인정보 유출 시도를 사전에 탐지하지 못한 것이 확인됐다. 또한, 회원 비밀번호에 대한 암호화 조치가 미흡했던 것으로 확인됐다.

SQL 삽입 공격은 매우 잘 알려진 웹 취약점 공격 방식으로, 많은 정보가 저장된 DB가 직접 공격받는다는 점에서 대량의 개인정보 유출로 이어질 위험성이 높아, 예방을 위한 사업자의 특별한 주의가 당부된다.

개인정보위는 이번 조사 결과를 바탕으로 사업자 대상 SQL 삽입 공격 예방 수칙을 마련·제공하고, 자체적으로 점검할 수 있도록 지속적으로 안내할 계획이라고 밝혔다.

가요진 기자 gyj1119@naver.com

• CTN 신문사 블로그
• CTN 네이버 블로그
• CTN 방송
• CTN 페이스북
• CTN X