최근 제조업 등을 중심으로 랜섬웨어 감염 및 개인정보 유출이 증가하고 있는 가운데 ‘해성디에스’와 ‘전남테크노파크’가 개인정보를 유출해 총 4억4460만원의 과징금‧과태료를 물게 됐다.
개인정보보호위원회는 두 기업에 대해 개인정보 보호 법규를 위반으로 과징금‧과태료를 부과하고 홈페이지 등에 전날 전체회의에서 의결했다고 24일 밝혔다. 해성디에스는 반도체 부품 등을 제조하는 업체며 전남테크노파크는 중소‧중견기업을 지원하기 위해 정부‧지자체‧민간이 공동 출연해 설립한 비영리 법인이다.
개인정보위에 따르면 신원 미상의 해커는 해성디에스가 운영 중인 SSL-VPN장비의 취약점을 악용해 VPN에 로그인 후 2023년 10월 11일부터 10월 29일까지 사내망에 접근했다. 해커는 파일서버에 저장돼 있던 7만3975명의 개인정보(주주 정보, 임직원 정보, 협력사직원 정보)를 외부로 유출하고, 내부 파일서버 등에 랜섬웨어 파일을 배포, 감염시켰다.
SSL-VPN은 인터넷과 같은 공용 네트워크에서 안전하고 암호화된 연결을 제공하는 가상 사설망 기술이다. 다만 인증되지 않은 공격자가 웹에 노출된 SSL-VPN 인터페이스를 통해 원격으로 코드를 실행할 수 있는 취약점이 있다.
해성디에스는 사용하던 SSL-VPN 장비의 취약점이 발견돼 보안 업데이트가 필요하다는 사실을 해당 장비 제조사 및 한국인터넷진흥원 등에 의해 공지됐지만 해킹 사고 당시까지 취약점에 대한 조치를 하지 않았던 것이 확인됐다. 또 해커가 유출을 진행하던 기간 동안 해성디에스의 일부 시스템은 백신 동작 이력이 존재하지 않는 등 악성프로그램 방지‧치료 기능 운영에 소홀히 했다.
이에 개인정보위는 안전조치 의무 위반으로 개인정보가 유출된 해성디에스에 과징금 3억4300만원을 부과하고 처분받은 사실을 운영 중인 홈페이지에 공표할 것을 명령했다.
전남테크노파크의 경우 운영하는 전남과학기술정보시스템(홈페이지) 내 개인정보처리시스템에 해커가 권한 없이 접근해 데이터베이스(DB)를 모두 삭제했고, 금전을 요구하는 랜섬노트(협박 메시지)를 남겼다.
해커의 공격을 받은 2023년 11월 23일 쯤 처리시스템에는 약 1200여 명의 개인정보가 저장돼 있었으며 성명, 휴대전화번호, 이메일주소, 소속기관 정보 등이 포함됐다.
개인정보위의 조사 결과, 테크노파크는 처리시스템 취급자 계정에 유추하기 쉬운 아이디와 비밀번호를 사용했다. 또 이용자의 비밀번호도 안전하지 않은 암호화(MD5)방식으로 저장하고 로그인 시 전송하는 비밀번호는 암호화하지 않은 사실을 확인됐다.
게다가 처리시스템의 접속 권한을 IP 주소 등으로 제한하거나 불법 접근 및 개인정보 유출 시도를 탐지‧차단하지 않았고, 처리시스템의 접속 기록을 보관‧관리하지도 않았다. 특히 테크노파크는 2024년 11월 23일 해커가 불법 접근해 개인정보를 삭제해 훼손된 사실을 인지했으나 정당한 사유 없이 72시간을 경과해 신고했고, 2024년 12월 1일 홈페이지에 유출 사실을 게시했다.
이에 개인정보위는 안전조치 의무를 위반한 테크노파크에 9800만원의 과징금과 360만원의 과태료를 부과했으며 처분받은 사실을 홈페이지에 공표하도록 명령했다.
