서버 취약점뚫고 HD건설기계 내부망까지 침투
개인정보위, HD건설기계 7350만원·HD한국조선해양 480만원 부과
개인정보위, HD건설기계 7350만원·HD한국조선해양 480만원 부과
|
개인정보위는 지난 26일 제17회 전체회의를 열고 개인정보 보호 법규를 위반한 HD현대그룹 소속 2개 사업자에 대해 과징금 및 과태료를 부과 의결했다고 27일 밝혔다. 이번 제재 대상이 된 기업은 토목공사·건설기계 제조사인 HD건설기계㈜와 선박용 기자재 제조사인 HD한국조선해양㈜이다.
이번 사고는 외부 접점 서버의 취약점과 내부망 접근통제 미비가 결합한 형태로 조사됐다. HD한국조선해양 모바일 기기 관리 서버는 파일 업로드 취약점에 대한 안전조치가 충분하지 않았고 HD건설기계 내부 업무용 시스템과는 업무상 연계가 필요하지 않았지만 양사 시스템 간 접근이 제한되지 않았다. 이 때문에 해커가 HD한국조선해양 시스템을 경유해 HD건설기계 개인정보처리시스템까지 접근할 수 있었던 것으로 확인됐다.
개인정보위는 이번 사건과 관련해 개인정보처리자가 개인정보처리시스템의 취약점 관련 조치를 소홀히 하고 업무상 연계가 불필요한 서버에 대한 접근통제 조치를 하지 않아 9503명의 성명·사번 등이 유출됐다고 판단했다.
또 실종아동과 입양인 등 개인정보를 대규모로 유출과 법정 신고·통지 의무를 위반한 아동권리보장원에 대해서도 과징금 8억 1050만원과 과태료 2220만원 등 총 8억 8520만원의 제재와 함께 시정명령·징계권고·개선권고·공표 조치까지 단행됐다.
보장원은 지난 2013년부터 2022년까지 입양기록물과 실종아동 입소카드를 엑셀 자료와 스캔 파일로 변환하는 전산화 사업을 추진했고 이 과정에서 전산화 사업을 위탁받은 수탁업체가 납품한 외장하드·USB 메모리·CD 등 보조저장매체를 업무용 캐비닛이나 서랍 등에 그대로 보관한 것으로 드러났다.
개인정보위 관계자는 "개인정보처리자가 개인정보처리시스템의 취약점 관련 조치를 소홀히 했고 업무상 연계가 불필요한 서버에 대한 접근 통제 조치가 이뤄지지 않아 해킹이 발생했다"며 "개인정보처리자는 보안대책을 정기적으로 점검하고 불법 접근과 침해사고 방지를 위해 개인정보처리시스템 접속 권한을 IP 등으로 제한해 불필요한 접근을 차단해야 한다"고 당부했다.
