일요주간 - 환자·회원 정보 무더기 뚫린 ′대전선·유성선병원′ 영훈의료재단… ＂기본적 보안조치조차 없었다＂

홈페이지 SQL 인젝션 공격에 18만 8481명 정보 유출… 웹방화벽조차 미설치 충격
비밀번호 복호화까지 가능했던 허술한 암호화… 개인정보위, 영훈재단에 과징금 철퇴

▲ (이미지=영훈의료재단 홈페이지 갈무리)

 

대전선병원과 유성선병원을 운영하는 의료법인 영훈의료재단이 병원 홈페이지 해킹으로 18만 8481명의 개인정보가 유출된 사건과 관련해 수억 원대의 과징금을 부과받았다. 개인정보보호위원회는 홈페이지의 웹 취약점에 대한 점검과 차단 조치가 미흡했으며, 회원 비밀번호를 안전하지 않은 방식으로 암호화한 사실도 확인했다고 밝혔다.

개인정보보호위원회(이하 개인정보위)는 지난 28일 제21회 전체회의를 열고, 개인정보 보호 법규를 위반한 영훈의료재단에 과징금 6억 3000만 원을 부과하고 시정명령을 내리기로 의결했다고 29일 밝혔다.

◇ “병원 홈페이지 회원 18만 8481명의 아이디, 비밀번호, 휴대전화 번호 등 다수의 개인정보 유출”

개인정보위 조사 결과에 따르면, 해커는 지난 2024년 3월 영훈의료재단이 운영하는 병원 홈페이지의 SQL 인젝션 취약점을 노려 공격을 감행했다. 이 공격으로 병원 홈페이지 회원 18만 8481명의 아이디, 비밀번호, 이름, 휴대전화 번호, 생년월일 등 다수의 개인정보가 유출됐다.

SQL 인젝션은 웹사이트 입력란에 정상적인 데이터 대신 데이터베이스 명령어를 입력해 내부 정보를 무단 조회·탈취하는 대표적인 공격 기법이다.

조사 과정에서 영훈의료재단은 병원 안내와 게시판 이용, 진료 예약 신청 등 병원 운영을 보조하는 홈페이지를 운영하며 관행적으로 회원가입 기능을 구현해 개인정보를 수집·처리해 온 것으로 드러났다.

그러나 웹 취약점 공격을 탐지하고 차단할 수 있는 웹 방화벽 등을 설치·운영하지 않았을 뿐만 아니라, SQL 인젝션과 같은 홈페이지 취약점 점검조차 실시하지 않은 것으로 확인됐다. 또한 홈페이지 입력값을 사전 검증하는 보안 프로그램도 구현하지 않았다.

◇ “보안성 떨어지는 암호 알고리즘 사용했으며, 솔트(salt) 값도 적용 안해”

회원 비밀번호 관리 체계 역시 허점을 드러냈다. 영훈의료재단은 홈페이지 회원가입 시 입력받은 비밀번호를 암호화하면서 보안성이 떨어지는 암호 알고리즘을 사용했으며, 솔트(salt) 값도 적용하지 않았다. 그 결과 유출된 일부 비밀번호는 복호화가 가능한 상태였던 것으로 조사됐다.

여기서 '솔트'란 동일한 암호화 알고리즘을 사용하더라도 같은 해시값이 생성되는 것을 막기 위해 비밀번호에 추가로 결합하는 임의의 난수 값을 의미한다.

개인정보위는 영훈의료재단이 개인정보 보호법상 안전조치 의무를 위반한 사실을 최종 확인하고 과징금 6억 3000만 원을 부과했다. 이와 함께 개인정보처리시스템에 대한 주기적인 취약점 점검과 보안 개선 조치를 이행하도록 시정명령을 내렸다.

개인정보위는 “이번 조사 및 처분을 통해 주요 서비스를 보조하는 홈페이지라 하더라도 심각한 개인정보 유출 경로가 될 수 있음을 재확인했다”고 설명했다. 따라서 사업자가 관행적으로 수집하는 개인정보 현황을 명확히 파악하고, 관련 시스템의 안전조치를 철저히 점검하는 것이 무엇보다 중요하다고 강조했다.

아울러 개인정보위는 각 사업자들에게 홈페이지 내 회원가입 기능의 실질적 필요성을 재검토해 불필요한 개인정보 수집을 최소화하는 한편, 웹 취약점 점검과 이상 행위 탐지·대응 체계를 한층 강화해 줄 것을 당부했다.

 

 

일요주간 / 고형준 기자 ilyo@ilyoweekly.co.kr 

[ⓒ 일요주간. 무단전재-재배포 금지]