개인정보보호위원회(위원장 송경희, 개인정보위)가 개인정보 보호 법규를 위반한 영훈의료재단에 과징금 6억3000만원을 부과했다. 이 재단은 대전선병원과 유성선병원을 운영하고 있다. 

30일 개인정보위는 “개인정보 유출 신고를 받고 조사한 결과, 이들 병원은 개인정보보호법상 안전조치 의무를 소홀히 한 것으로 확인됐다”고 밝혔다. 

개인정보위 조사에 따르면 해커는 지난 2024년 3월 영훈의료재단 산하 두 병원 홈페이지 내 SQL 인젝션 취약점을 공격했다. 이는 웹사이트 입력 칸에 정상적 값 대신 데이터베이스 명령어를 입력해 결과를 조회하는 것을 말한다. 

해커 공격으로 병원 홈페이지에 회원 가입한 18만8481명 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 등이 유출됐다. 

영훈의료재단은 병원 안내, 게시판 이용, 예약신청 등 병원 운영을 보조하는 홈페이지를 운영하면서 관행적으로 회원가입 기능을 구현해 개인정보를 수집·처리한 것으로 조사됐다. 

또한 웹 취약점 공격 등을 탐지·차단할 수 있는 웹 방화벽 등을 설치·운영하지 않았고, SQL 인젝션 등 웹 취약점을 점검하거나 홈페이지 내 입력값을 검증할 수 있는 프로그램 구현 등을 하지 않았다.

아울러 회원이 병원 홈페이지 회원가입 시 입력한 비밀번호를 암호화하면서 안전하지 않은 암호 알고리즘을 사용했다. 솔트 값 등을 사용하지 않아 일부 비밀번호의 경우 복호화가 가능한 사실도 확인됐다.

이에 개인정보위는 영훈의료재단에 과징금을 부과하면서 개인정보처리시스템에 대한 주기적 취약점 점검 및 개선조치 이행을 시정명령했다.

개인정보위는 “주요 서비스를 제공하는 시스템뿐 아니라 관계사와 연결된 서버나 주요 서비스 운영을 보조하는 홈페이지도 개인정보 유출 경로가 될 수 있다”고 밝혔다.

이어 “보안 위협을 탐지하고도 적절히 대응하지 않거나 내부 관리계획 이행 여부를 실효적으로 점검하지 않으면 동일한 방식 유출이 반복될 수 있다”고 덧붙였다.