대교 과징금 32.5억 — 관계사 홈페이지 하나로 65만 명 정보 유출

🏫 해커가 처음 들어온 곳은 대교 본사가 아니라 관계사 홈페이지였습니다

 

🔗 시리즈 「약한 고리」 ③/⑦

 

개인정보보호위원회가 교육기업 대교에 과징금 32억5500만원을 부과했습니다.

온라인 교육 서비스 회원 약 65만 명의 이름·생년월일·휴대전화번호·연계정보(CI) 등이 유출된 사고입니다.

 

그런데 경로를 따라가 보면 출발점은 관계사 홈페이지 하나였습니다.

어떻게 뚫렸는지, 무엇이 위반으로 지적됐는지, 32.5억이라는 숫자가 어떻게 나오는지 정리했습니다.

 

1. 무슨 결정이 나왔나

10월 28일(수) 제21회 전체회의

대교 과징금 처분 개요 [01]

 

구분	내용
처분 기관	개인정보보호위원회
의결·발표	10월 28일(수) 제21회 전체회의 의결, 10월 29일(목) 발표
처분 내용	과징금 32억5500만원, 시정명령, 공표명령
대상 서비스	온라인 교육 서비스 마카다미아 회원 DB
유출 규모·항목	약 65만 명 · 이름, 생년월일, 휴대전화번호, 연계정보(CI) 등
유출 시기	2024년 8월, 2025년 2월 두 차례

 

시정명령에는 개인정보처리시스템의 안전조치를 강화하고 유출사고 대응체계를 정비하라는 내용이 담겼습니다.

공표명령에 따라 처분 사실도 회사 홈페이지에 알려야 합니다.

 

📌 같은 날 함께 처분된 곳 같은 회의에서 의료법인 영훈의료재단에도 과징금 6억3000만원이 부과됐습니다. 두 곳을 합친 과징금은 38억8500만원입니다.

 

⭐ 2. 관계사 홈페이지에서 회원 DB까지

두 번 뚫린 같은 길

개인정보위 발표로 본 유출 경로 [02]

 

해커는 관계사 홈페이지의 웹 취약점을 이용해 웹셸을 올렸습니다.

웹셸은 서버에 몰래 심어 원격으로 명령을 내릴 수 있게 하는 파일을 말합니다.

 

시점	내용
2024년 8월	악성코드 실행, 1차 유출 · 보안관제업체가 이상 행위 탐지 안내
그 뒤	상세 분석·접근 차단 등 후속 조치가 충분하지 않았다는 판단
2025년 2월	같은 방식으로 다시 유출
2025년 2월 28일(금)	대교, 관계사 사이트를 통한 마카다미아 회원정보 무단 접근 시도 정황 공지 (보도 기준)
2026년 10월 28일(수)	개인정보위 과징금 의결

 

핵심은 관계사 웹서버에서 대교 회원 DB로 바로 접근할 수 있는 길이 열려 있었다는 점입니다.

개인정보위는 이 연결이 업무상 필요하지 않았다고 봤습니다.

 

🔗 이번 사고의 약한 고리 본사 서비스가 아니라 관계사 홈페이지가 첫 관문이었습니다. 그리고 그 관문에서 본사 회원 DB까지 가는 길이 막혀 있지 않았습니다. 한 번 경보가 울린 뒤에도 같은 길이 남아 있었다는 점이 두 번째 유출로 이어졌다는 것이 개인정보위의 판단입니다.

 

3. 무엇이 위반이었나

개인정보위가 짚은 세 가지

개인정보위가 지적한 위반 사항 [03]

 

지적 사항	내용
불필요한 접근 허용	관계사 웹서버에서 대교 회원 DB로 직접 접근할 수 있는 연결을 열어 둠
탐지 후 대응 소홀	2024년 8월 보안관제업체의 탐지 안내 뒤 상세 분석·차단이 충분하지 않았음
책임자 점검 누락	개인정보보호책임자(CPO)가 접근통제 등 내부 관리계획 이행 실태를 점검하지 않음

 

세 가지 모두 "새로운 해킹 기법"보다는 관리의 문제에 가깝습니다.

특히 탐지 안내를 받고도 같은 방식으로 다시 뚫렸다는 점이 여러 보도에서 강조됐습니다.

 

💡 보안관제가 있어도 뚫리는 이유 관제업체는 이상 징후를 찾아 알려 주는 역할입니다. 알림을 받은 쪽이 원인을 분석하고 길을 막지 않으면, 경보는 기록으로만 남습니다.

 

⭐ 4. 32.5억은 어떻게 나왔나

과징금 계산의 네 단계

개인정보 과징금 산정 단계 [04]

 

개인정보 과징금의 근거는 개인정보 보호법 제64조의2입니다.

2023년 9월 15일(금) 시행된 개정법부터 상한 기준이 "위반 관련 매출액"에서 "전체 매출액의 3%"로 바뀌었습니다.

 

단계	내용
① 매출액	직전 3개 사업연도 평균 전체 매출액에서 위반행위와 관련 없는 매출을 뺌
② 기준금액	①에 부과기준율을 곱함 (매우 중대·중대·보통·약한 위반 등 정도에 따라 다름)
③ 1차·2차 조정	위반 기간·횟수, 피해 회복 노력, 조사 협조 등으로 가중·감경
④ 최종 결정	현실적 부담 능력 등을 따져 확정, 상한은 전체 매출액의 3%

 

같은 3% 상한이라도 관련 없는 매출을 얼마나 빼느냐, 위반을 얼마나 중대하게 보느냐에 따라 금액이 크게 달라집니다.

대교 사건에서 어떤 매출을 기준으로 삼았는지, 어느 단계에서 얼마나 조정됐는지는 발표되지 않았습니다.

 

📌 올해 바뀐 규정은 이번 건에 적용되지 않은 것으로 보입니다 · 2026년 5월 19일(화)부터: 직전 사업연도 매출과 3년 평균 중 큰 금액을 기준으로 산정 (시행 뒤 위반부터 적용) · 2026년 9월 11일(금)부터: 3년 내 같은 유형 재위반, 고의·중과실로 1천만 명 이상 피해, 시정명령 불이행으로 인한 유출 중 하나에 해당하면 전체 매출액의 최대 10%까지 대교 사건의 위반은 2024~2025년에 일어나 이 개정 내용이 그대로 적용된 것은 아닌 것으로 보입니다.

 

5. 32.5억, 회사에 얼마나 큰 돈인가

매출·영업손익과 비교해 보면

과징금과 매출 비교 [05]

 

개인정보위는 산정에 쓴 매출액을 공개하지 않았습니다. 아래 비율은 공개된 실적과 단순 비교한 추정입니다.

 

비교 대상	금액	과징금 비율
2025년 연결 매출	약 6,500억원	약 0.50%
2025년 별도 매출	약 5,388억원	약 0.60%
2025년 연결 영업손실	약 34억원	거의 같은 규모

 

매출로 보면 1%에 못 미치지만, 한 해 영업손실과는 맞먹는 금액입니다.

한 보도는 10월 29일(목) 오후 4시 14분 애프터마켓 기준 주가가 1,485원으로, 최근 3개월 최고가 2,306원보다 약 35.6% 낮다고 전했습니다. 이 하락이 모두 이번 처분 때문이라고 보기는 어렵습니다.

 

📌 숫자를 읽을 때 주의할 점 · 별도 매출 5,388억원은 한 곳의 기업정보 집계 자료로만 확인해 자료마다 다를 수 있습니다. · 실제 산정 매출은 위반 시점 직전 3개 사업연도 평균에서 관련 없는 매출을 뺀 금액이라 위 비율과 다릅니다. · 주가 수치는 한 매체 보도 기준입니다.

 

대교 쪽 유출은 이번이 처음이 아닙니다.

2016년에도 대교 자회사의 온라인 교육 사이트 지캠프가 해킹돼 약 3만 명의 정보가 유출된 바 있습니다. 그때는 자회사 사이트에 남아 있던 회원정보 백업자료가 노출된 경우였습니다.

 

6. 회원이라면, 다른 회사라면

이번 사고에서 가져갈 것

회원과 기업이 챙길 것 [06]

 

유출 항목에 이름·생년월일·휴대전화번호가 함께 들어 있습니다.

내 정보를 정확히 아는 문자·전화일수록 더 믿기 쉬우니, 링크와 결제 요구는 먼저 의심하는 편이 안전합니다.

 

누가	할 일
회원	"대교·마카다미아"를 내세운 문자·전화의 링크 누르지 않기
회원	엠세이퍼(msafer.or.kr)에서 내 명의 휴대폰 개통 내역 확인
회원	피해가 의심되면 개인정보 침해 신고센터 118 상담
기업	관계사·계열사 서버에서 본사 DB로 가는 연결을 목록으로 만들고 불필요한 것은 끊기
기업	관제 탐지 안내 뒤 분석·차단·재발 확인까지 책임자를 정해 기록

 

⚠️ "보상 안내" 문자 조심 과징금 소식 뒤에는 피해 보상·조회를 미끼로 한 사칭 문자가 따라오기 쉽습니다. 안내는 공식 홈페이지 공지로 직접 들어가 확인하세요.

 

다음 편 예고: ④ 협력사가 뚫리면 내 정보도 샌다 — 공급망 해킹

 

📌 3줄 요약

 

1. 대교 과징금 32억5500만원 — 관계사 홈페이지 웹셸에서 시작해 약 65만 명 정보 유출!

2. 관계사→회원 DB 불필요한 접근, 1차 탐지 안내 뒤 대응 소홀, CPO 점검 누락이 지적!

3. 매출 대비 약 0.5~0.6%(추정)지만 한 해 영업손실과 맞먹는 규모!

 

본사 문을 아무리 잠가도, 옆집과 이어진 통로가 열려 있으면 소용이 없습니다 🔐

 

대교의 후속 조치나 이의 제기 여부가 알려지면 이어서 정리해 드리겠습니다.

 

※ 이 글은 2026년 11월 2일(월) 기준 개인정보보호위원회 발표를 전한 언론 보도와 공개된 법령·재무 자료를 정리한 것입니다. 과징금 산정에 쓰인 매출액과 조정 내역은 공개되지 않아 비율은 단순 추정이며, 후속 절차에 따라 내용이 달라질 수 있습니다. 특정 기관·개인의 책임을 단정하지 않으며, 법률 자문 아님, 투자 권유 아님을 밝힙니다. 정확한 내용은 개인정보보호위원회 보도자료와 회사 공지에서 확인해 주세요.

 

태그

#대교 #대교과징금 #마카다미아 #대교개인정보유출 #개인정보위 #과징금산정 #웹셸 #관계사보안 #약한고리시리즈 #정보보안 #시사정리 #한국살이이슈