랜섬웨어 감염에 7만4천 주주·임직원 정보 유출, 해성디에스 등 과징금

작성일 07-24

<div id="layerTranslateNotice" style="display:none;"></div>  
        <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
         <section dmcf-sid="WOTHPFP3XZ">
          <figure class="figure_frm origin_fig" contents-hash="aace02b728c567c98bb1a8a22743446b5027443932519812f39da5df9418a30d" dmcf-pid="YIyXQ3Q05X" dmcf-ptype="figure">
           <p class="link_figure"><img alt="/사진=개인정보보호위원회" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202507/24/moneytoday/20250724120159076psgx.jpg" data-org-width="1000" dmcf-mid="ytpqNVNft5" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202507/24/moneytoday/20250724120159076psgx.jpg" width="658"></p>
           <figcaption class="txt_caption default_figure">
            /사진=개인정보보호위원회
           </figcaption>
          </figure>
          <p contents-hash="d9b0aaac1ca4fe58328858ef3f66a2c551ef7e939e778d12b237ec6a0c2e8989" dmcf-pid="GCWZx0xpHH" dmcf-ptype="general"><br>취약점 경고에도 시스템을 방치했다가 랜섬웨어 공격으로 사내 시스템 마비, 주주·임직원 개인정보 유출 등 사고가 발생한 해성디에스가 과징금 처분을 받았다. 주민등록번호까지 요구할 필요가 없음에도 해당 정보를 수집해 왔던 기업들도 제재를 받았다.</p>
          <p contents-hash="8f5a3f5be4f7c2186dc2d3f09b568d82919dedcc4421577ba71aeae6556aa614" dmcf-pid="HhY5MpMUXG" dmcf-ptype="general">개인정보보호위원회는 지난 23일 전체회의를 통해 개인정보보호 법규를 위반한 해성디에스, 전남테크노파크 등에 총 4억4460만원의 과징금·과태료를 부과했다며 24일 이같이 밝혔다. 해성디에스에는 과징금 3억4300만원이, 전남테크노파크에는 과징금 9800만원 등이 부과됐다.</p>
          <p contents-hash="b6b54709c17b804282823f4e9bde091374d413a9a0115e6f21aaebbfacaa449d" dmcf-pid="XlG1RURuHY" dmcf-ptype="general">해성디에스에서는 2023년 10월 신원 미상의 해커가 해성디에스의 SSL-VPN(인터넷 등 공용 네트워크에서 안전한 암호 연결을 제공하는 가상 사설망) 장비의 취약점을 이용해 VPN(가상사설망)으로 사내망에 접근하는 일이 발생했다. 이후 해성디에스의 주주와 임직원, 협력사 직원 등 7만3975명에 이르는 개인정보가 외부로 유출됐고 해성디에스의 내부 파일서버 등도 랜섬웨어에 감염됐다. 랜섬웨어란 파일·시스템을 마비시킨 후 이를 해제해 주는 조건으로 돈을 요구하는 방식의 공격 또는 이에 쓰이는 악성코드를 일컫는다.</p>
          <p contents-hash="adaaae6006a915ab32761e87d81727d1b3d7c010b92a58633275dd8cdb7cc057" dmcf-pid="ZSHteue7GW" dmcf-ptype="general">해성디에스는 해커 침입 전인 같은 해 6월 SSL-VPN 장비의 제조사와 한국인터넷진흥원(KISA)에서 보안 업데이트가 필요하다는 사실이 공지됐음에도 취약점 조치를 하지 않았다. 해커가 정보 유출을 진행하던 기간 동안 해성디에스의 일부 시스템은 백신이 동작한 이력이 없었다. 악성코드 방지·치료 기능이 제대로 운영되지 못했다는 것이다.</p>
          <p contents-hash="a2e1f2a37dc6322b34a6b54e6f991dd6fbfb5b69a07ce7581d2bd79cc0abaaac" dmcf-pid="5vXFd7dzZy" dmcf-ptype="general">전남테크노파크에서도 2023년 11월 해커가 이 기관의 과학기술정보시스템 홈페이지 내 개인정보 처리 시스템에 무단 접근해 데이터베이스를 모두 삭제하는 일이 발생했다. 이 시스템에는 1200명의 개인정보가 저장돼 있었고 이름, 휴대전화 번호, 이메일 주소, 소속기관 정보 등이 포함돼 있었다. </p>
          <p contents-hash="3c025fed24fe98710eec79351019b04077d557a978c6f18f5f543526af4cad74" dmcf-pid="1TZ3JzJqtT" dmcf-ptype="general">테크노파크는 시스템 취급자 계정에 유추하기 쉬운 아이디와 비밀번호를 사용했다. 또 이용자 비밀번호도 안전하지 않은 암호화 방식으로 저장됐고 로그인시 전송하는 비밀번호도 암호화되지 않았다. 처리 시스템에 접속할 수 있는 권한을 제한하거나 불법접근 및 개인정보 유출시도를 탐지·차단하지 않은 사실도 확인됐다. 개인정보 유출 사실을 법정 기한(72시간)을 넘겨서야 신고한 사실도 확인됐다.</p>
          <p contents-hash="65eb37f5fd381f74ade09a30aed066591138f3ea6b08aec76289a8522030d8b6" dmcf-pid="ty50iqiBHv" dmcf-ptype="general">이외에도 개인정보위는 △모바일 게임 '삼국지 전략판' 관련 이벤트를 진행하면서 이벤트 당첨자에게 주민등록번호를 수집한 쿠카게임즈 △웹사이트 게시판 게시물 및 댓글 작성시 주민등록번호를 입력하도록 한 잡보스 등에도 과징금 등 제재를 부과했다. 주민등록번호는 법령에서 구체적으로 처리를 요구하거나 허용한 경우에만 수집·처리가 가능한데 이를 위반한 것이다.</p>
          <p contents-hash="098f4373e987d7bacc7f3bac27e75c5188d75093bb1921935adca8a67a2db80b" dmcf-pid="FW1pnBnbHS" dmcf-ptype="general">황국상 기자 gshwang@mt.co.kr</p>
         </section> 
        </div> 
        <p class="" data-translation="true">Copyright © 머니투데이 &amp; mt.co.kr. 무단 전재 및 재배포, AI학습 이용 금지.</p>

등록된 댓글이 없습니다.

로그인한 회원만 댓글 등록이 가능합니다.

먹튀폴리스

랜섬웨어 감염에 7만4천 주주·임직원 정보 유출, 해성디에스 등 과징금

멤버랭킹

관련자료

멤버랭킹