`대규모 고객정보 해킹당해` 12개 의료기관에 1억원 벌금 처분

윤종인 개인정보보호위원회 위원장이 27일 오후 서울 정부청사에서 개최된 제17회 개인정보보호위원회 전체회의에서 모두발언을 하고 있다.(사진=개인정보보호위원회 제공)

[이데일리 이후섭 기자] 랜섬웨어와 해킹 공격에 노출돼 대규모 개인정보가 유출된 성형외과, 피부과 등 12개 의료기관에 총 1억원이 넘는 과징금·과태료 처분이 내려졌다. 또 직원 실수와 안전조치 소홀로 고객의 개인정보가 유출된 사실도 확인돼 민감정보를 다루는 의료기관의 더욱 철저한 관리가 요구된다.

개인정보보호위원회는 27일 전체회의를 열고 바노바기성형외과, 리뉴미피부과, 대한의학회, 연세의료원, 문원의료재단 서울병원 등 12개 사업자에게 총 1813만원의 과징금, 8410만원의 과태료 부과 등 시정조치를 의결했다.

개인정보위는 사업자의 유출신고, 경찰 이첩, 이용자의 침해신고를 계기로 한국인터넷진흥원(KISA)의 지원을 받아 조사를 진행했고, 개인정보 처리시 안전성 확보조치를 다 하지 않거나 담당자 실수로 개인정보가 유출되는 등의 개인정보 보호법 위반행위를 확인했다.

바노바기성형외과는 고객관리시스템이 랜섬웨어에 감염돼 6251명의 고객에게 협박 문자가 발송되는 유출 사고가 발생했다. 다만 로그기록 등 전체 자료가 삭제돼 세부 유출항목 및 규모 등은 파악하지 못했다. 유출 과정에서 개인정보가 유출된 사실을 이용자에게 즉시 통지하지 않았고, 하나의 계정을 여러 명이 공유하는 등의 위반행위도 적발됐다.

박영수 개인정보위 조사1과장은 “랜섬웨어 협박에 대해 바노바기성형외과가 대응하지 않다 보니, 공격자가 직접 자기가 탈취한 정보를 가지고 고객들한테 협박 문자를 보내는 상황까지 갔다”며 “바노바기성형외과는 백업 데이터가 있어 큰 손실을 입지 않았지만, 고객들이 협박까지 당하는 더 큰 문제가 발생했다. 또 피해 확산을 위해 관련 내용을 고객들에게 법적으로 5일 이내에 통지하게 돼있는데, 한 달이 넘는 기간 동안 알리지 않았다”고 설명했다.

리뉴미피부과 화곡점 등 7개 지점은 보안시스템의 관리 부실로 해킹 공격을 받아 총 21만4590건의 고객명, 휴대전화 번호 등 개인정보가 유출돼 다크웹에 노출됐다. 다크웹은 특수한 웹브라우저를 사용해야만 접근할 수 있는 웹으로, 일반적인 검색 엔진으로는 찾을 수 없기에 해킹으로 얻은 개인정보, 경쟁사의 영업비밀 등 주로 불법적인 정보가 거래된다.

대한의학회는 홈페이지 관리자 인증수단의 허점을 악용한 해킹을 당해 학회 활동자 등 약 9221명의 이름, 휴대전화 번호 등이 유출됐다. KISA 모니터링 과정에서 홈페이지 악성코드를 발견해 통보했으며, 해킹사실도 확인했다. 조사 과정에서 동의 없이 개인정보를 수집하고, 안전성 확보조치를 다하지 않는 등 보호법 5개 항목을 위반한 사실도 확인됐다.

연세의료원은 급여담당자가 연차수당 확인을 위해 해당 직원들에게 내부메일을 보내면서 실수로 모든 직원의 급여내역을 첨부했다. 조사 결과 개인정보가 외부로 유출되지는 않았으나, 시스템의 안전조치를 미흡하게 관리한 사실(접속기록 일부 누락)이 확인됐다.

문원의료재단 서울병원은 `홈페이지 내 본인확인에 주민등록번호를 사용한다`는 신고를 받고 조사한 결과, 이는 사실이 아닌 것으로 확인(생년월일로 확인)됐다. 하지만 진료시스템의 안전조치를 미흡하게 관리한 사실(접속기록 일부 누락)이 확인됐다.

약국을 운영했던 사업자가 처방전을 불특정 다수가 왕래하는 거주지 분리수거장에 버린 사실이 경찰에 신고된 사례도 발생했다. 해당 약국은 고객의 처방전을 의무 보유기간(건강보험법 3년)이 지나도 파기하지 않고 보관하다가, 완전파괴(소각·파쇄) 하지 않고 버리는 등 보호법 4개 항목을 위반한 사실이 확인됐다.

개인정보위는 주민등록번호가 유출된 전 약국 사업자에게는 1813만원의 과징금을 부과했으며, 관련단체 등을 통해 의료기관이 `개인정보보호 가이드라인`을 참고해 개인정보 관리실태를 다시 한번 점검해 줄 것을 요청했다.

송상훈 개인정보위 조사조정국장은 “의료기관은 환자의 건강상태 및 신체적 특징 등 민감한 정보와 주민등록번호, 신용카드번호 등 다양하고 중요한 개인정보를 다루고 있어 더욱 철저한 관리가 필요하다”며 “앞으로도 국민의 민감한 정보를 다루는 의료기관 등에 대해 자율규제단체 등을 통해 자율점검, 교육 등 개인정보 보호 관리·감독을 강화해 나갈 것”이라고 말했다.