[뉴스토마토 전연주 기자] HD현대그룹 계열사의 보안 관리 미흡으로 임직원과 협력사 직원 9503명의 개인정보가 유출된 것으로 나타났습니다. 해커가 한 계열사의 서버 취약점을 이용해 침입한 뒤 다른 계열사의 내부 업무 시스템까지 접근한 것으로 조사됐습니다. 이에 개인정보보호위원회(개보위)는 관련 법규를 위반한 두 회사에 과징금과 과태료 총 7830만원을 부과했습니다.
송경희 개인정보보호위원회 위원장이 지난 26일 정부서울청사에서 개최된 제17회 전체회의에서 모두발언을 하고 있다. (이미지=개인정보보호위원회)
27일 개보위에 따르면 전날 열린 제17회 전체회의에서 HD건설기계에 과징금 7350만원, HD한국조선해양에 과태료 480만원을 각각 부과하기로 했습니다.
개인정보 유출 사고는 2024년 3월쯤 신원을 알 수 없는 해커가 HD한국조선해양이 운영하는 모바일 기기 관리 서버의 취약점을 이용해 웹 쉘(Web Shell) 파일을 올리면서 시작된 것으로 파악됐습니다.
웹 쉘은 외부에서 서버에 명령을 내리거나 내부 시스템에 접근할 때 악용될 수 있는 파일입니다. 해커는 이를 통해 HD한국조선해양 서버에 침입한 뒤 해당 서버와 통신이 가능했던 HD건설기계의 내부 업무 시스템까지 접근했습니다.
이 과정에서 HD건설기계 임직원과 협력사 직원 9503명의 성명과 사번 등 개인정보가 유출됐습니다.
개보위 조사 결과 HD한국조선해양이 운영하던 모바일 기기 관리 서버는 파일 업로드 과정에서 발생할 수 있는 보안 취약점에 대한 조치가 충분하지 않았던 것으로 나타났습니다.
계열사 간 시스템 접근통제도 미흡했습니다. HD한국조선해양의 모바일 기기 관리 서버와 HD건설기계의 내부 업무 시스템은 업무상 서로 연결될 필요가 없었지만, 두 시스템 사이의 접근이 차단돼 있지 않았습니다. 해커가 한쪽 서버에 침입한 뒤 다른 계열사의 시스템까지 이동할 수 있었던 이유입니다.
개보위는 두 회사 모두 개인정보보호법상 안전조치 의무를 위반했다고 판단했습니다. 개인정보가 실제 유출된 HD건설기계에는 과징금 7350만원을 부과했고, 해커의 침입 경로로 이용된 서버를 운영한 HD한국조선해양에는 과태료 480만원을 부과했습니다.
이번 사고는 서버 보안 취약점과 함께 계열사 간 미흡한 접근통제가 문제로 지적됐습니다. 업무상 연계가 필요하지 않은 시스템 간 통신이 허용되면서 해커가 다른 계열사 내부 시스템까지 접근할 수 있었습니다.
개보위는 개인정보처리시스템의 웹 취약점을 정기적으로 점검하고 필요한 보안대책을 마련해야 한다고 강조했습니다. 또 불법 접근이나 침해 사고를 막기 위해 IP 등을 기준으로 접속 권한을 제한하고, 업무상 필요하지 않은 시스템 간 접근은 차단해야 한다고 당부했습니다.
전연주 기자 kiteju1011@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김충범 테크지식산업부장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지