개인정보위, 안전조치 의무를 위반한 HD현대그룹 소속 2개 사업자 제재

– 개인정보 유출의 경로로 악용되지 않도록 개인정보처리시스템에 대한 취약점 조치 및 불필요한 접근 차단 조치 등 당부 개인정보보호위원회(위원장 송경희, 이하 ‘개인정보위’)는 8월 26일(수) 제17회 전체회의를 열고, 개인정보 보호 법규를 위반한 HD현대그룹 소속 2개 사업자*에 대해 과징금 7,350만 원 및 과태료 480만 원 부과를 의결하였다. * HD건설기계㈜(토목공사 및 건설기계 제조), HD한국조선해양㈜(선박용 기자재 제조) 이들 사업자는 개인정보처리시스템에 대한 접근통제 등 안전조치를 소홀히 하여 개인정보가 유출되었으며, 구체적인 위반 내용과 처분 결과는 다음과 같다. HD현대그룹 2개사: 과징금 7,350만 원 및 과태료 480만 원 부과 신원 미상의 자(이하 ‘해커’)는 2024년 3월경 HD한국조선해양(주)가 운영하는 모바일 기기 관리 서버의 취약점을 이용하여 웹 쉘(Web Shell) 파일을 업로드한 후, 해당 서버와 통신이 가능하였던 HD건설기계(주)의 내부 업무용 시스템에 접속하여 HD건설기계(주) 임직원 및 협력사 직원의 성명, 사번 등 9,503명의 개인정보를 유출하였다. 조사 결과, HD한국조선해양(주)의 모바일 기기 관리 서버는 파일 업로드 취약점에 대한 안전조치가 미흡하여 유출의 경로로 이용된 사실이 있다. 또한, HD한국조선해양(주)의 모바일 기기 관리 서버와 HD건설기계(주)의 내부 업무용 시스템은 업무상 연계가 불필요함에도 불구하고 양사 시스템 간 접근을 제한하지 않아 해커가 HD한국조선해양(주)의 개인정보처리시스템을 통해 HD건설기계(주)의 개인정보처리시스템에 접근한 것으로 확인되었다. 이에 따라, 개인정보위는 임직원 등의 개인정보가 유출된 HD건설기계(주)에 과징금 7,350만 원을 부과하고, 유출의 경로로 이용된 HD한국조선해양(주)에 과태료 480만 원을 부과하였다. 이번 조사·처분의 의의 이번 유출사고는 개인정보처리자가 개인정보처리시스템에 대한 취약점 관련 조치를 소홀히 하였으며, 업무상 연계가 불필요한 서버에 대한 접근 통제 조치가 이루어지지 않아 발생하게 되었다. 이에 개인정보위는 개인정보처리자가 웹 취약점을 통해 개인정보가 유·노출되지 않도록 보안대책을 정기적으로 검토하고, 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접속 권한을 IP(Internet Protocol) 등으로 제한하여 불필요한 접근을 차단·통제해야 한다고 당부하였다.