보안관제 경고 받고도 차단 안 해 6개월 뒤 같은 수법에 또 뚫려…개인정보위, 과징금 32억5500만원 부과
교육기업 대교(대표 강호준)가 보안관제업체로부터 해킹 탐지 경고를 받고도 대응하지 않아 6개월 뒤 같은 수법에 다시 뚫린 사실이 정부 조사로 확인됐다. 두 차례 해킹으로 회원 약 65만명의 개인정보가 빠져나갔다. 대교는 지난해 별도 기준 334억원의 순손실을 냈지만 배당은 전년의 8배인 49억9000만원으로 늘렸다.
29일 개인정보보호위원회에 따르면 개인정보위는 전날 전체회의에서 대교에 과징금 32억5500만원을 부과하고 시정명령과 공표명령을 내리기로 의결했다. 대교는 처분받은 사실을 홈페이지에 알려야 한다.
해커는 대교 관계사 홈페이지의 허점을 이용해 웹셸을 올렸다. 웹셸은 파일 업로드 창의 취약점으로 서버에 악성코드를 심어 관리자 권한을 빼앗는 공격 수법이다. 해커는 2024년 8월과 지난해 2월 두 차례 악성코드를 실행해 대교 온라인 교육 서비스 ‘마카다미아’ 회원 데이터베이스(DB)에서 이름, 생년월일, 휴대전화번호, 연계정보(CI)를 빼냈다. 연계정보는 주민등록번호를 바탕으로 만들어 여러 온라인 서비스에서 같은 사람을 알아보는 데 쓰는 식별값이다.
문제는 첫 유출 때 이미 경고를 받았다는 점이다. 개인정보위 조사 결과 대교는 2024년 8월 보안관제업체로부터 이상행위를 탐지했다는 안내를 받았지만 상세 분석이나 차단을 하지 않았다. 6개월 뒤인 지난해 2월 같은 방식의 접근과 유출이 또 일어났다.
관계사 웹서버에서 대교 회원 DB로 곧장 들어갈 수 있는 불필요한 통로도 열려 있었다. 대교 개인정보보호책임자(CPO)는 이런 접근 통제를 포함한 내부 관리계획이 제대로 지켜지는지 점검하지 않았다.
대교 계열사 홈페이지가 해킹당한 것은 처음이 아니다. 2016년 3월에는 계열사 대교에듀피아의 교육 브랜드 ‘지캠프’ 홈페이지가 해킹돼 탈퇴 회원을 포함한 3만명의 이름, 주민등록번호, 휴대전화번호, 주소가 빠져나갔다. 당시 대교는 고객에게 사과했다.
■ 334억 적자에도 배당 8배…강 명예회장 20억 수령
대교 실적은 내리막이다. 별도 기준 순손실은 2024년 55억원에서 지난해 334억원으로 6배 넘게 불었고, 올해 상반기에도 61억원 적자를 냈다. 연결 기준 영업손실도 2024년 16억원, 지난해 34억원, 올해 상반기 73억원으로 커졌다.
그런데도 대교는 지난해 결산배당으로 보통주와 우선주에 주당 60원씩 모두 49억9000만원을 나눠줬다. 2024년에는 우선주에만 6억2200만원을 배당했다.
배당의 3분의 2는 오너 쪽으로 갔다. 지난해 말 보유 주식으로 역산하면 최대주주 대교홀딩스 몫이 27억7000만원, 강영중 대교그룹 명예회장 개인 몫이 5억8300만원이다. 두 몫을 합치면 33억5300만원으로 전체 배당의 67%다. 대교홀딩스는 강 명예회장이 지분 84.0%를 가진 지주회사다.
강 명예회장은 지난해 3월 24일 대교 사내이사에서 물러났다. 대교 사업보고서를 보면 강 명예회장은 지난해 대교에서 보수 20억5100만원을 받았다. 급여는 4200만원이었고, 퇴직금과 특별공로금을 합친 퇴직소득이 11억4800만원, 세법상 퇴직소득 한도를 넘어 근로소득으로 잡힌 금액이 8억6100만원이었다. 대교는 퇴직금을 재임 인정기간 18년에 직위별 지급률 200%를 곱해 계산했다고 적었다.
이 금액은 지난해 대교 이사·감사 9명이 받은 보수 총액 45억200만원의 46%다. 강 명예회장이 지난해 대교에서 받은 보수와 배당을 합치면 26억3400만원이다.
강 명예회장은 지주회사를 거쳐 대교를 지배한다. 대교홀딩스가 대교 보통주 56.63%를, 강 명예회장이 8.43%를 갖고 있다. 장남인 강호준 대교 대표는 이사회 의장을 겸하고 대교홀딩스 각자대표도 맡고 있다. 차남인 강호철 대교홀딩스 대표는 대교 기타비상무이사다.
대교는 지난 8월 낸 반기보고서에 개인정보위가 과징금을 부과할 것으로 예상되지만 금액은 정해지지 않았다고 적었다. 이번에 확정된 32억5500만원은 대교의 올해 상반기 별도 순손실 61억원의 절반을 넘는다.
개인정보위는 대교에 개인정보처리시스템의 안전조치를 강화하고 유출사고 대응체계를 전반적으로 정비하라고 명령했다. 개인정보위는 “보안 위협을 탐지하고도 적절히 대응하지 않거나 내부 관리계획의 이행 여부를 실효적으로 점검하지 않으면 동일한 방식의 개인정보 유출이 반복될 수 있다”고 밝혔다.