해킹뒤 금전 협박받은 해성디에스·전남테크노파크 과징금

작성일 07-24

<div id="layerTranslateNotice" style="display:none;"></div> 랜섬웨어 공격으로 개인정보 유출시킨 2개 기업 제재 총 4.4억 과징금·과태료 부과... SSL-VPN 취약점 보안 경고등 
 <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
 <section dmcf-sid="4SFeK541wZ">
 [이데일리 김현아 기자] 개인정보보호위원회가 지난 23일 제16회 전체회의를 열고, 랜섬웨어 공격 등으로 개인정보 유출 및 삭제 사고를 겪은 ㈜해성디에스와 (재)전남테크노파크에 총 4억 4460만 원의 과징금 및 과태료를 부과하고, 해당 사실을 홈페이지에 공표하도록 명령했다.
 이번 제재는 최근 증가하는 랜섬웨어 공격(해커가 컴퓨터 시스템이나 데이터를 암호화한 뒤 복호화 키를 조건으로 금전을 요구하는 악성코드)에 대한 기업의 안일한 보안 대응에 경종을 울렸다. 
 개인정보위는 모든 개인정보처리자에게 운영 중인 서비스의 취약점 점검 및 보안 업데이트 실시 등 각별한 주의를 당부했다. 
 특히 SSL-VPN 장비 취약점을 악용한 개인정보 유출이 증가하는 추세라며 각별한 주의를 촉구했다.
 <figure class="figure_frm origin_fig" contents-hash="8844e2d278207d95250146fc18fabe4d1e259e6d09a7ce35ffcfac2b0ef2649d" dmcf-pid="xG7o8pMUwW" dmcf-ptype="figure">
 <img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202507/24/Edaily/20250724135905232gylz.jpg" data-org-width="474" dmcf-mid="fPVEdKo9w5" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202507/24/Edaily/20250724135905232gylz.jpg" width="658">
 </figure>
 <div contents-hash="cf1176c23074d262a86de56769d38ed7fd73602d8010fed28f772ef5562bbfdb" dmcf-pid="yektljWAry" dmcf-ptype="general">
 ㈜해성디에스, SSL-VPN 취약점 방치로 주주·임직원 정보 7만여 건 유출... 3.4억 과징금
 </div>
 반도체 부품 제조업체인 ㈜해성디에스는 신원 미상의 해커가 운영 중인 SSL-VPN(Secure Sockets Layer-Virtual Private Network) 장비의 취약점을 악용해 회사 내부망에 침투한 사실이 드러났다. 
 해커는 지난 2023년 10월 11일부터 29일까지 사내 파일서버에 저장된 73,975명의 주주, 임직원, 협력사 직원 개인정보를 외부로 유출하고, 내부 서버에 랜섬웨어를 배포해 감염시켰다.
 조사 결과, 해성디에스는 해당 SSL-VPN 장비의 취약점이 이미 제조사와 한국인터넷진흥원 등을 통해 공지(2023년 6월 12일)되었음에도 불구하고, 해킹 사고 발생 당시까지 아무런 보안 조치를 취하지 않은 것으로 확인됐다. 
 또한, 해킹이 진행되던 기간 동안 일부 시스템에서 백신 프로그램이 제대로 작동하지 않는 등 악성 프로그램 방지 및 치료 기능 운영이 소홀했던 사실도 드러났다.
 개인정보위는 이러한 안전조치 의무 위반으로 개인정보가 유출된 ㈜해성디에스에 과징금 3억 4300만 원을 부과하고, 처분 사실을 홈페이지에 공표할 것을 명령했다. 
 개인정보위는 최근 SSL-VPN 등 보안 장비 취약점을 악용한 해킹 및 개인정보 유출 사례가 증가하고 있다며, 관련 사업자들에게 보안 장비 업데이트와 설정 점검에 유의할 것을 거듭 당부했다.
 (재)전남테크노파크, 쉬운 비밀번호 사용·늦장 신고로 1200명 정보 삭제... 과징금 9800만 원
 (재)전남테크노파크(중소·중견기업 지원 비영리 법인) 역시 해커의 공격으로 개인정보가 삭제되는 피해를 입었다.
 해커는 2023년 11월 23일경 전남테크노파크가 운영하는 전남과학기술정보시스템 홈페이지에 권한 없이 접근해 데이터베이스(DB)를 모두 삭제하고 금전을 요구하는 랜섬노트(협박 메시지)를 남겼다.
 당시 시스템에는 약 1200명의 성명, 휴대전화번호, 이메일 주소, 소속기관 정보 등이 저장되어 있었다.
 조사 결과, 전남테크노파크는 시스템 취급자 계정에 유추하기 쉬운 아이디와 비밀번호를 사용했으며, 이용자 비밀번호를 안전하지 않은 암호화 방식(MD5)으로 저장하고 로그인 시 비밀번호를 암호화하지 않은 채 전송하는 등 안전조치 의무를 소홀히 한 사실이 확인됐다.
 또한, 시스템 접속 권한을 IP 주소 등으로 제한하거나 불법 접근 시도를 탐지·차단하지 않았고, 접속 기록도 보관·관리하지 않은 것으로 드러났다. 
 더욱이 개인정보 삭제 사실을 인지했음에도 불구하고, 정당한 사유 없이 72시간을 경과한 2024년 11월 30일에야 유출 신고를 했고, 다음날 홈페이지에 유출 사실을 게시했다.
 개인정보위는 안전조치 의무 위반과 개인정보 유출 통지·신고 의무 위반으로 (재)전남테크노파크에 과징금 9800만 원과 과태료 360만 원을 부과하고, 처분 사실을 홈페이지에 공표하도록 명령했다.
 개인정보위는 이번 제재 조사가 제조업 등을 중심으로 랜섬웨어 감염 및 개인정보 유출이 증가하는 상황에서 이뤄진 것이라고 설명했다.
 개인정보를 다루는 모든 사업자들에게 서비스의 취약점 점검 및 보안 업데이트를 철저히 하고, 개인정보 데이터베이스 등 주요 파일의 별도 백업·보관 등 각별한 주의를 기울일 것을 거듭 당부했다.
 김현아 (chaos@edaily.co.kr) 
 </section> 
 </div> 
 Copyright © 이데일리. 무단전재 및 재배포 금지.

등록된 댓글이 없습니다.

로그인한 회원만 댓글 등록이 가능합니다.

먹튀폴리스

해킹뒤 금전 협박받은 해성디에스·전남테크노파크 과징금

멤버랭킹

관련자료

멤버랭킹