개인정보보호위원회가 회원 약 65만 명의 정보를 유출한 교육기업 대교에 과징금 32억 5,500만 원을 매겼어요. 대전선병원·유성선병원을 운영하는 영훈의료재단도 18만 8,481명 유출로 6억 3,000만 원을 받았어요.
개인정보보호위원회(개인정보위)가 10월 28일 전체회의에서 대교와 영훈의료재단에 과징금 모두 38억 8,500만 원을 부과했어요. 두 곳 다 해커가 홈페이지의 오래된 약점을 파고들었고, 회사는 기본 보호 조치를 소홀히 했다는 판단이에요. 같은 날 개인정보위는 쿠팡, G마켓 등 고객센터 9곳의 개인정보 처리 실태 점검 결과도 내놨어요.
이 글은 2026년 11월 4일 기준으로 두 사업자의 유출 경로와 처분 내용, 고객센터 점검에서 드러난 문제, 이어지는 교육업계 유출 사고를 정리해요.
대교: 관계사 홈페이지로 들어와 두 번 빼 갔다
해커는 대교 관계사 홈페이지의 약점을 이용해 ‘웹셸’을 올렸어요. 웹셸은 홈페이지 파일 업로드 기능을 악용해 서버에서 몰래 실행되는 악성 코드예요. 해커는 2024년 8월과 2025년 2월 두 차례 이 코드를 실행했어요. 그리고 관계사 서버와 연결된 대교 온라인 교육 서비스(macadamia) 회원 DB에서 약 65만 명의 이름, 생년월일, 휴대전화번호, 연계정보(CI)를 빼 갔어요.
조사 결과 대교는 관계사 서버에서 자사 회원 DB로 바로 들어올 수 있는 불필요한 길을 열어 두고 있었어요. 2024년 8월 첫 유출 때 보안관제업체에서 이상 징후 안내를 받았지만 자세히 분석하거나 막지 않았어요. 그래서 2025년 2월에 같은 방식으로 또 털렸어요. 개인정보보호책임자(CPO)가 내부 관리계획 이행을 제대로 점검하지 않은 사실도 확인됐어요.
영훈의료재단: 쓸 일 없는 회원가입이 화근
해커는 2024년 3월 영훈의료재단이 운영하는 병원 홈페이지의 ‘SQL 인젝션’ 약점을 공격했어요. 입력 칸에 정상 값 대신 데이터베이스 명령어를 넣어 정보를 꺼내는 수법이에요. 이 공격으로 홈페이지 회원 18만 8,481명의 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일이 유출됐어요.
이 홈페이지는 병원 안내, 게시판, 예약 신청을 돕는 보조 사이트였어요. 그런데도 관행처럼 회원가입 기능을 넣어 개인정보를 모았어요. 웹 방화벽도 없었고 약점 점검도 하지 않았어요. 비밀번호는 안전하지 않은 방식으로 암호화했고 ‘솔트’라는 임의 값도 붙이지 않아 일부는 원래 비밀번호로 되돌릴 수 있었어요.
| 구분 | 대교 | 영훈의료재단 |
|---|---|---|
| 유출 규모 | 약 65만 명 | 18만 8,481명 |
| 유출 시기 | 2024년 8월, 2025년 2월 | 2024년 3월 |
| 공격 방식 | 웹셸 업로드 | SQL 인젝션 |
| 주요 문제 | 불필요한 DB 접근 허용, 이상 징후 대응 소홀 | 웹 방화벽 미설치, 약한 비밀번호 암호화 |
| 처분 | 과징금 32억 5,500만 원, 시정·공표명령 | 과징금 6억 3,000만 원, 시정명령 |
개인정보위는 “관계사와 연결된 서버나 주요 서비스의 운영을 보조하는 홈페이지도 개인정보 유출의 경로가 될 수 있음을 확인”했다고 밝혔어요. 꼭 필요하지 않은 회원가입 기능은 다시 검토하라고 당부했어요.
고객센터 상담 화면도 손본다
개인정보위는 같은 회의에서 고객센터 점검 결과도 의결했어요. 지난 3월 고객센터 상담사가 고객 정보를 무단 조회해 보복 범죄에 악용한 사건이 계기였어요. 점검 대상은 쿠팡, 위대한상상, CJ ENM, G마켓, SK브로드밴드 등 서비스 사업자 5곳과 고객센터 운영사 4곳이에요.
일부 회사에서는 이름이나 전화번호 하나만 넣어도 상세 주소까지 조회됐고, 상담 화면에 이름·전화번호·주소가 가림 처리 없이 그대로 보였어요. 개인정보위는 이름은 첫째·셋째 글자만, 전화번호는 가운데 번호까지만 보이게 하는 등 가림(마스킹) 기준을 담은 4대 행동수칙을 내놨어요.
교육업계 유출은 계속되고 있다
디지털데일리는 11월 2일 교육업계 유출이 이어지고 있다고 정리했어요. 웅진컴퍼스의 가족 체험 플랫폼 ‘놀이의발견’은 10월 18~19일 관리자 시스템에 무단 접근을 당해 약 6만 7,000명의 닉네임, 전화번호, 이메일이 유출됐어요. 기업용 회계 소프트웨어 회사 더존비즈온의 침해사고도 있어요. 더존비즈온은 10월 16일과 21일 두 차례 침해사고를 신고했고, 과기정통부는 10월 25일 민관합동조사단을 꾸려 조사에 들어갔어요. 디지털데일리에 따르면 에스티유니타스와 창비교육도 이 사고로 거래처 등의 정보가 영향을 받았을 수 있다고 알렸어요.
그래서 나에게 무엇이 달라지나
회사가 유출을 확인하면 이용자에게 알려야 해요. 대교나 웅진컴퍼스에서 안내 문자나 메일을 받았다면 같은 비밀번호를 쓰는 다른 사이트의 비밀번호부터 바꾸세요. 생년월일과 전화번호가 함께 새면 이를 이용한 사칭 전화나 문자가 늘 수 있어요. 아이 학습 서비스나 병원 홈페이지처럼 가끔 쓰는 곳은 회원 탈퇴도 방법이에요.
자주 묻는 질문
Q. 내 정보가 유출됐는지 어떻게 아나요?
A. 유출된 사업자가 이용자에게 개별 통지를 해요. 안내를 받지 못했는데 걱정되면 해당 회사 고객센터에 직접 물어보세요.
Q. 과징금은 피해자에게 가나요?
A. 아니에요. 과징금은 국가에 내는 돈이에요. 피해 배상은 이와 별도로 회사에 청구해야 해요.
Q. 결제 정보도 빠져나갔나요?
A. 개인정보위 발표에 나온 유출 항목에 결제 정보는 없어요. 대교는 이름·생년월일·휴대전화번호·연계정보, 영훈의료재단은 아이디·비밀번호·이름·휴대전화번호·생년월일이에요.
출처: 개인정보보호위원회 과징금 부과 보도자료 · 개인정보보호위원회 고객센터 점검 보도자료 · 과학기술정보통신부 더존비즈온 침해사고 조사 · 디지털데일리 (2026년 11월 4일 확인)
