개인정보보호위원회는 안전조치 미흡으로 직원 개인정보를 유출한 HD현대그룹 산하 HD건설기계와 HD한국조선해양에 각각 과징금 7350만원과 과태료 480만원을 부과한다고 27일 밝혔다.
개인정보위는 전날 열린 전체회의에서 개인정보 보호 법규를 위반한 HD현대그룹 소속 2개 사업자에 대해 대해 이같이 과징금·과태료 부과를 의결했다. 이들 사업자는 개인정보처리시스템에 대한 접근통제 등 안전조치를 소홀히 해 개인정보가 유출된 것으로 나타났다.
조사 결과, 신원 미상의 해커는 2024년 3월 HD한국조선해양이 운영하는 모바일 기기 관리 서버의 취약점을 이용해 웹 쉘(Web Shell) 파일을 업로드했다. 이후 해당 서버와 통신이 가능했던 HD건설기계의 내부 업무용 시스템에 접속해 HD건설기계 임직원과 협력사 직원의 성명, 사번 등 9503명의 개인정보를 유출했다.
개인정보위에 따르면 HD한국조선해양의 모바일 기기 관리 서버는 파일 업로드 취약점에 대한 안전조치가 미흡해 유출 경로로 이용됐다. 아울러 HD한국조선해양의 모바일 기기 관리 서버와 HD건설기계의 내부 업무용 시스템은 업무상 연계가 불필요하지만, 양사 시스템 간 접근을 제한하지 않아 해커가 HD한국조선해양의 개인정보처리시스템을 통해 HD건설기계의 개인정보처리시스템에 접근한 것으로 파악됐다.
이에 따라 개인정보위는 임직원 등의 개인정보가 유출된 HD건설기계에 과징금 7350만원을 부과하고, 유출의 경로로 이용된 HD한국조선해양에 과태료 480만원을 부과했다.
개인정보위 관계자는 "이번 유출사고는 개인정보처리자가 개인정보처리시스템에 대한 취약점 관련 조치를 소홀히 했으며, 업무상 연계가 불필요한 서버에 대한 접근 통제 조치가 이루어지지 않아 발생하게 됐다"고 설명했다.
이에 개인정보위는 개인정보처리자가 웹 취약점을 통해 개인정보가 유·노출되지 않도록 보안대책을 정기적으로 검토하고, 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접속 권한을 인터넷 프로토콜(IP) 등으로 제한해 불필요한 접근을 차단·통제해야 한다고 제언했다.