핵심 요약 — 「제29조 위반, 과징금 얼마」는 위원회의 판단이고 그 앞에는 사고가 있습니다. 이 페이지는 결정문 「유출 경위」·「유출 내용」 절을 읽어 사고가 어떻게 일어났고 무엇이 새나갔는지를 모은 것입니다. 경위 문장은 결정문 원문 그대로이고 「유형」은 세기 위해 붙인 축입니다. 위원회가 그 사고를 어떤 위반으로 인정했는지는 위반행위 층이, 통지가 며칠 늦었는지는 유출 통지 지연이 담습니다.
유출 사고를 다룬 자료는 대개 두 가지 중 하나로 끝납니다. 몇 명이 유출됐다는 숫자이거나, 어느 조문을 위반했다는 결론입니다. 그 사이에 있는 것 — 무엇이 어떻게 뚫렸고 어떤 정보가 나갔는지 — 는 결정문 본문에만 있습니다.
327건유출 사고 절이 있는 의결
206건경위가 적힌 의결
294건항목이 적힌 의결
취약점·설계 결함가장 많은 경위
어떻게 새나갔나 — 경위
| 유출 경위 | 의결 | 비중 | 과징금 |
|---|---|---|---|
| 취약점·설계 결함 | 60건 | 29% | 29건 (48%) |
| 기타·미상 | 32건 | 16% | 5건 (16%) |
| 외부 침입·해킹 | 30건 | 15% | 17건 (57%) |
| 담당자 실수(오발송·오게시) | 28건 | 14% | 6건 (21%) |
| 잘못된 게시·노출 | 25건 | 12% | 3건 (12%) |
| 설정 오류·시스템 장애 | 9건 | 4% | — |
| 계정 도용·대입 공격 | 7건 | 3% | 1건 (14%) |
| 원인 불명·확인 안 됨 | 5건 | 2% | — |
| 랜섬웨어 | 4건 | 2% | 2건 (50%) |
| 문서 분실·파기 미흡 | 3건 | 1% | — |
| 사회공학·사칭 | 2건 | 1% | — |
| 수탁자·위탁 관계에서 | 1건 | 0% | 1건 (100%) |
무엇이 새나갔나 — 항목
| 유출된 개인정보 항목 | 의결 | 비중 | 과징금 |
|---|---|---|---|
| 성명 | 245건 | 83% | 75건 (31%) |
| 연락처 | 194건 | 66% | 59건 (30%) |
| 주소 | 170건 | 58% | 47건 (28%) |
| 이메일 | 136건 | 46% | 35건 (26%) |
| 아이디·비밀번호 | 98건 | 33% | 37건 (38%) |
| 주민등록번호 | 83건 | 28% | 35건 (42%) |
| 생년월일·나이 | 75건 | 26% | 23건 (31%) |
| 계좌·카드번호 | 35건 | 12% | 15건 (43%) |
| IP·접속기록 | 34건 | 12% | 8건 (24%) |
| 소속·직위 | 29건 | 10% | 9건 (31%) |
| 학적·성적 | 21건 | 7% | 8건 (38%) |
| 외국인등록번호·여권번호 | 13건 | 4% | 4건 (31%) |
| 사진·영상 | 12건 | 4% | 3건 (25%) |
| 거래·구매 내역 | 9건 | 3% | 2건 (22%) |
| 건강·진료 정보 | 7건 | 2% | 3건 (43%) |
| 생체정보 | 1건 | 0% | — |
경위별 원문
유형은 세기 위해 붙인 축입니다. 결정문이 실제로 쓴 경위 문장은 아래 서랍에 그대로 있습니다.
취약점·설계 결함
결정문 원문 보기 60건
- 2026-08-26 · HD한국조선해양(주) · 제2026-017-098호 원문 ↗
신원 미상의 자(이하 ‘해커’)는 피심인이 운영하는 MDM 서버의 파일 업로드 취약점을 이용하여 웹쉘(Web Shell) 파일을 서버에 업로드하고 이를 실행하였다. 이후 해커는 MDM 서버를 통해 HD건설기계(주)3)의 장비영업포털에 접속하여 포털 DB에서 개인정보를 추출하였으며, 이를 MDM 서버에 업로드 후 다시 다운 로드받는 방식으로 개인정보를 유출하였다. < 네트워크 구성도 > 3) 당초 HD건설기계(주)와 HD한국조선해양(주)의 사업부문은 현대중공업(주)라는 단일 법인 내에서 운영 - 2026-08-26 · HD건설기계(주) · 제2026-017-097호 · 유출 9,503명 · 과징금 7,350만 원 원문 ↗
신원 미상의 자(이하 ‘해커’)는 HD한국조선해양(주)가 운영하는 MDM3) 서버 의 파일 업로드 취약점을 이용하여 웹쉘(Web Shell) 파일을 서버에 업로드하고 이를 실행하였다. 이후, 해커는 MDM 서버를 통해 피심인의 장비영업포털에 접속 하여 장비영업포털의 DB 내 테이블에서 개인정보를 추출하였으며, 이를 MDM 서버에 업로드 후 다시 다운로드받는 방식으로 개인정보를 유출하였다. < 네트워크 구성도 > 3) MDM(Mobile Device Managemen t) : 모바일 기기를 중앙에서 관리·통제하는 시스템으로, 기술 유출
항목: 성명·연락처·소속·직위 - 2026-07-22 · 한국방송통신대학교 · 제2026-214-289호 원문 ↗
입학지원서 전형료 결제 완료 후 이동하는 페이지 에 매개변수 (지원년도·접수번호) 변조 취약점이 존재하였고, 해당 취약점을 인지한 자＊가 다른 입학지원자 36명＊＊의 입학지원서를 열람(’23.12.3.~4.)하였다. 조사 결과, 매개변수 변조 취약점은 피심인이 ’21학년도 서비스를 도입(’20.11.)하면서 발생한 것으로 확인되었다. ＊ 제보자(27.35.19.14), SBS(222.108.25.250, 222.108.25.252), KBS(210.115.223.46) ＊＊ 피심인은 보유기간(10년)이 지났음에도 파기하지 않고, ’11년부터 13년도 입학지원자 약 105만 명의 개인정보를 보관하고 있었음(’23.12.8. 파기 완료)
항목: 성명·연락처·주소·생년월일·나이 - 2026-07-08 · 법원도서관 · 제2026-213-263호 원문 ↗
신원 미상의 자(이하 ‘해커’)는 ‘21.7.8.~12.20. 법원도서관 홈페이지 내 의 첨부파일 업로드 취약점＊을 이용하여 ( , )을 업로드하고 해당 에 접근하였다. ＊ 파라미터값에 따라 페이지를 호출하여 게시물 작성, 수정, 답변 기능 등을 수행하며, 파일확장자, 사용자 등에 대한 검증이 없어 누구나 임의로 접근이 가능함 ※ 이후 해커는 ’21.7.11.~’22.8.11. 페이지에 ( )을 업로드하고 해당 에 접근하였고, ’22.8.11. 00:48~03:15 와 파일을 외부로 전송하였다. 해커는 전송 직후 해당 파일을 삭제하였으나, 해당 파일 내 개인정보가 포함되었을 것으로 추정 2) 전문업체를 통해 복구 시도하였으나 복구가 불가하였음 닫기 - 2026-05-13 · 보람상조플러스 주식회사 · 제2026-009-063호 원문 ↗
’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 4) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 5) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨
항목: 성명·연락처 - 2026-05-13 · 보람상조실로암 주식회사 · 제2026-009-062호 원문 ↗
’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 4) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 5) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨
항목: 성명·연락처 - 2026-05-13 · 보람상조애니콜 주식회사 · 제2026-009-061호 원문 ↗
’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 4) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 5) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨
항목: 성명·연락처 - 2026-05-13 · 보람상조피플 주식회사 · 제2026-009-060호 · 과징금 250만 원 원문 ↗
’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 4) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 5) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨
항목: 성명·연락처 - 2026-05-13 · 보람상조라이프 주식회사 · 제2026-009-059호 · 과징금 480만 원 원문 ↗
’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 4) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 5) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨
항목: 성명·연락처 - 2026-05-13 · 보람상조리더스 주식회사 · 제2026-009-058호 · 과징금 420만 원 원문 ↗
’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 4) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 5) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨
항목: 성명·연락처 - 2026-05-13 · 보람상조개발 주식회사 · 제2026-009-057호 · 과징금 5억 3,100만 원 원문 ↗
’24. 3월부터 ’24. 5월에 걸쳐 ‘보람상조 홈페이지’에 SQL인젝션 7) 웹 애플리케이션의 보안 취약점을 이용해 악의적인 SQL 구문을 입력하여 데이터베이스를 조작하거나 정보를 탈취하는 해킹 기법 닫기 등 해커 8) 본 건 유출범(해커)은 검거 및 형사판결이 확정(2024고단555(징역 1년6개월 등), 2024노1258(항소기각))됨
항목: 성명·연락처 - 2026-04-22 · 재단법인 금릉공원묘원 · 제2026-007-053호 · 과징금 5,420만 원 원문 ↗
피심인은 묘지, 봉안당 임대·관리 서비스를 제공하며, 관리비 조회/납부 기능이 포함된 웹사이트( )를 ( )년부터 개편하여 운영하고 있다. 신원 미상의 자(이하 ‘해커’)가 ‘25. 7. 5. 피심인이 운영 중인 웹사이트 내 관리비 조회/납부 페이지＊에 존재하는 파라미터 변조 취약점을 악용하여 개인정보를 유출하였다. ＊ 관리비 조회/납부 상태를 조회할 수 있는 페이지에서 입력받는 3종의 파라미터( , , )값을 공란(입력값 없음)으로 설정하여 전송할 경우, 전체 개인정보가 화면으로 출력되는 취약점이 존재하였다.
항목: 주민등록번호·성명·연락처 - 2026-04-22 · 듀오정보 주식회사 · 제2026-007-052호 · 과징금 11억 9,700만 원 원문 ↗
‘25. 1. 24. 개인정보취급자가 업무망에서 사용하는 관리자PC를 통해 해커가 사전에 감염시킨 웹사이트에 접속하여 악성코드가 설치되었고, ‘25.1.25. ~ 1.28. 해커는 악성프로그램을 통해 DB서버 계정을 탈취한 뒤 회원 DB서버에 접속하여 회원 정보를 다운로드하고 외부로 전송하였다. ① ’25. 1. 24. 개인정보취급자가 업무망에서 관리자 PC를 통해 해커가 사전에 감염시킨 웹사이트에 접속하여 악성코드가 설치되었고, 보안 모듈( ) 취약점 2) 사고 당시 키보드 보안 프로그램 신규 취약점으로, 사고 이후 보안 업데이트 발표(’25. 3. 24.) 닫기 을 악용해 원격 접속프로그램( )이 설치되었다.( ) ② ’25. 1. 25. 해커는 원격으로 악성코드를 설치하고 계정탈취용 악성파일을 이용해 관리자PC를 통해 관련 정보를 수집하였으며, ‘25. 1. 25. ~ 1. 28. 수집된 정보를 통해 DB에 다회 로그인( )을 시도하여 DB계정 로그인에 성공하였다.
항목: 주민등록번호·성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·소속·직위·사진·영상 - 2026-04-22 · 주식회사 케이에스한국고용정보 · 제2026-006-050호 · 과징금 35억 3,700만 원 원문 ↗
신원미상의 자(이하 ‘해커’)는 ‘25. 4. 15. 알 수 없는 방법으로 획득한 피심인의 인사관리시스템( ) 관리자 계정( )으로 외부에서 로그인 후, 관리자페이지 내 엑셀 다운로드 기능을 통해 전체 임직원 및 교육생 개인정보를 다운로드하여 유출하였다. ※ 피심인은 방화벽을 설치하였으나 웹서비스 포트( )에 대해 모든 IP의 접속 허용, 웹방화벽 미설치, VPN·OTP 등 미적용으로 ID·PW만으로 외부에서 내부시스템으로 접속 가능하였음 이후, 해커는 인사관리시스템 웹페이지에 존재하는 파일다운로드 취약점을 이용해 ’25. 4. 16. ~ 4. 18. 동안 서버에 접근하여 서버 내 DB백업 파일, 인사서류 파일 등 개인정보를 포함한 자료를 다운로드하여 유출하였다. 또한, 해커는 ‘25. 4. 19. 임직원을 대상으로 DB 등 개인정보 탈취 사실을 알리며 금전을 요구하는 협박메일을 발송하였으며, ’25. 4. 22. 다크웹에 복호화된 개인정보 샘플 및 판매글을 게시하였다. ※ 피심인은 DB 내 개인정보는 암호화하였으나, 인사 증빙서류 내 주민등록번호는 마스킹하거나 암호화하지 않고 서버에 저장하였으며, 해커는 복호화된 DB 샘플을 공개하였음
항목: 주민등록번호·성명·연락처·이메일·주소·아이디·비밀번호·계좌·카드번호 - 2026-01-28 · 한국연구재단 · 제2026-002-003호 · 유출 120,533명 · 과징금 7억 300만 원 원문 ↗
신원 미상의 자(35.216.61.106 외 17개, 이하 ‘해커’)는 ’25.6.6.01:32~17:26 학회페이지를 대상으로 비밀번호 찾기 URL＊ 취약점＊＊을 악용한 파라미터 변조 공격을 수행하여 회원의 개인정보를 열람하였다. ＊ 비밀번호 찾기 페이지 URL : ＊＊ 비밀번호 찾기 페이지 URL 내 이메일주소를 임의로 변경하면, 비밀번호 찾기에 필요한 전체 항목(ID, 이름, 이메일)을 입력하지 않아도 해당 회원의 개인정보 화면이 나타남
항목: 주민등록번호·성명·연락처·이메일·주소·아이디·비밀번호 - 2025-11-20 · 법무법인(유)로고스 · 제2025-023-296호 · 과징금 5억 2,300만 원 원문 ↗
신원미상의 자(이하 ‘해커’)는 ‘24. 7. 18. 피심인이 운영 중인 웹페이지에 존재하는 SQL 인젝션 취약점을 이용해 피심인 웹서버의 데이터베이스(DB)에 접근 및 관리자 계정정보를 포함한 계정정보(ID·PW) 개를 탈취하였다. ※ 웹로그(’23.10.27.~‘24.9.20.) 분석 결과, 해커는 ’23. 11. 3.부터 로고스 웹페이지에 존재한 SQL 인젝션 취약점을 통해 다수의 SQL 인젝션 공격 시도가 있었던 것으로 확인됨 해커는 ‘24. 8. 21. 탈취한 계정정보＊를 이용해, 내부 인트라넷 시스템()의 ’사건관리 리스트 웹페이지＊＊‘에 접근하여, 건의 사건관리 리스트(의뢰인명, 소송상대자, 사건명, 사건번호 등)를 엑셀파일로 다운로드하여 유출하였다. ＊ 탈취한 DB 내 관리자 및 개인정보취급자의 동일한 계정정보(ID·PW)를 사용했을 것으로 추정됨 ＊＊ 사건관리 리스트 출력 웹페이지 : 이후, 해커는 ’24. 8. 21. ~ 8. 30. 내부 인트라넷 시스템()의 소송 관련 자료가 저장된 웹페이지＊에 접근하여, 파일 자동 다운로드 프로그램을 통해 개의 소송 자료＊＊를 다운로드＊＊＊하여 유출하였다. ＊ 파일 다운로드 웹페이지 :
항목: 주민등록번호·외국인등록번호·여권번호·성명·연락처·주소·계좌·카드번호·거래·구매 내역 - 2025-11-20 · ㈜더존하우징 · 제2025-023-294호 · 과징금 5,580만 원 원문 ↗
해커는 ‘23. 12. 25. ~ 29. 기간 동안 피심인 홈페이지 내 검색창에 존재하는 취약점을 이용해 972,890번의 SQL 구문을 입력하였고, 피심인의 DB구조를 파악한 뒤, ’23.12.29. DB조회를 통해 회원정보를 유출하였다.
항목: 성명·연락처·이메일·주소·아이디·비밀번호 - 2025-10-22 · 경기대학교 · 제2025-219-393호 원문 ↗
현장실습학기제에 참여하는 학생은 산학협력정보시스템에 접속하여 현 장실습 신청서를 작성‧제출할 수 있다. 그런데 위 시스템은 애플리케이션 및 데이터베이스에서 공백(빈 문자열) 입력을 제한하지 않도록 설정되어 있 었고, 위 시스템에 로그인하여 페이지＊에 접근한 이후에는 로그인 세션을 체크하는 로직이 없어 세션 종료로 로그아웃된 상태에서도 신청서의 작성‧수정‧저장 등이 가능하였다. 그리고 이 경우 해당 신청서의 이용자ID는 당초 로그인한 사용자의 ID가 아닌 공백값으로 저장되었다.
항목: 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·학적·성적·소속·직위 - 2025-10-22 · (비실명) · 제2025-022-256호 · 과징금 4억 6,300만 원 원문 ↗
‘25. 1. 9. 개인정보취급자는 업무용 노트북을 통해 해커가 사전에 감염시킨 웹 사이트에 접속하였고, 이때 해커는 노트북에 설치된 보안 프로그램 취약점을 악용하여 원격에서 악성코드 설치 및 계정탈취용 해킹툴로 DB 접속 계정 등을 확보하였다. 해커는 ’25. 1. 17. 해당 노트북을 거점으로 DB에 접속하여 전체 회원 DB를 조회·백업하였고, ‘25. 1. 19. 스토리지 서버(NAS)로 이동하여 이력서 파일, 첨부파일 등을 백업하였고, 백업한 자료는 외부 유출을 위해 인터넷 통신이 가능한 파일서버로 이동시키고, ’25. 1. 19. ~ 2. 23. 동안 외부로 유출하였다.
항목: 성명·연락처·아이디·비밀번호·사진·영상 - 2025-09-10 · 다한마케팅 · 제2025-217-355호 원문 ↗
해커는 피심인 홈페이지의 특정URL을 입력하면 ID/PW없이 관리자 페이지 내 회원DB로 접속이 가능한 취약점을 이용하여 ’22. 11. 4. ~ 11. 7. 사이에 피심인의 회원DB를 다운로드 하여 회원정보를 탈취하였다.
항목: 연락처·이메일·주소·아이디·비밀번호 - 2025-06-25 · 국방부 · 제2025-212-279호 원문 ↗
- 2 - 신원 미상의 자는 특수임무수행자보상심의위원회 홈페이지( )에 존재한 SQL인젝션과 파일 업로드 취약점을 악용하여 DB에 저장된 회원정보를 탈취한 것으로 추정된다. 분석에 활용된 로그자료 현황 ▸웹서버 로그(’23. 5. 14. ~ ’23. 8. 11.) 및 웹방화벽 로그(’22.11.11. ~ ’23. 8. 11.) ▸웹방화벽 로그에는 대표 홈페이지 관련 로그가 포함되어 있지 않음
항목: 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 - 2025-06-25 · TELUS International AI, Ltd · 제2025-014-047호 · 과징금 8,200만 원 원문 ↗
피심인은 플랫폼에서 채용 담당자와 관리자 계정으로 채용 공고 지원자의 DB를 호출하여 데이터를 조회할 수 있도록 설계된 API를 업데이트하면서, 해당 API를 사용하는 계정의 권한을 검증하는 절차를 누락한 소스코드를 작성‧배포(’23. 8. 28.)하였다. 이에, 지원자 계정으로도 타 지원자의 개인정보에 접근이 허용되는 취약점이 발생하였다. 해커는 플랫폼에서 지원자 계정을 생성한 후, 상기 취약점을 통해 API의 ‘ ’를 변경 4) 닫기 하여, 지원자인 한국 정보주체의 개인정보(성명, 이메일 주소, 지원자 식별번호, 지원 직무, 지원일 등)를 조회·유출(’23. 9. 8. ~ 11. 1.)하였다. 피심인은 유출 사고 이후 자체점검 과정에서 다른 취약점도 자체적으로 발견하였으며, ’23. 8. 28. 소스코드 배포 전 ‘개인정보를 조회할 때 사용하는 API’의 소스코드 보안 취약점 등을 점검하지 않았다.
항목: 성명·이메일·주소 - 2025-06-11 · 이화여자대학교 · 제2025-013-041호 · 과징금 3억 4,300만 원 원문 ↗
신원 미상의 자(이하 ‘해커’)는 ’24. 9. 2. 14:50 ~ 9. 3. 11:55 해외 IP에서 유레카 시스템에 존재하는 DB 트랜잭션( ) 기능의 취약점＊ 을 이용하여 파 라미터 변조 및 무작위 대입을 통해 졸업생 및 학부생의 개인정보를 조회하였 다. ＊ 로 접근하여 개인정보 조회 시 세션값 검증 로직 부재로 세션값과 조회 대상 정보가 불일치하는 경우에도 파라미터 (학번) 변조를 통해 다른 사용자의 개인정보 조회가 가능한 취약점 존재
항목: 주민등록번호·성명·연락처·이메일·주소·계좌·카드번호·학적·성적·소속·직위 - 2025-06-11 · 전북대학교 · 제2025-013-040호 · 과징금 6억 2,300만 원 원문 ↗
신원 미상의 자 (이하 ‘해커’)는 ’24. 7. 28. 03:18 ~ 22:14 오아시스 2.0의 기능( )의 취약점 ＊을 이용한 SQL Injection 공 격으로 학번 정보를 약 137만 건 조회하여 유효한 학번 정보를 입수한 후, ’24. 7. 28. 23:23 ~ 7. 29. 05:28 사이에 페이지에서 파라미터 변조 및 무작위 대입하여 학 생 및 평생교육원 홈페이지 회원의 개인정보를 조회하였다. ＊ 하면,
항목: 주민등록번호·성명·연락처·학적·성적·소속·직위 - 2025-02-26 · ㈜비즈니스온커뮤니케이션 · 제2025-004-014호 · 과징금 1억 3,700만 원 원문 ↗
신원미상의 자(이하 ‘해커’라 한다)가 ‘23. 11. 9. 15:39 ~ 16:20 피심인의 개발시스 템 관리자 로그인 페이지＊에 SQL 인젝션 공격으로 연동된 ‘ ’ 서비스의 운영DB에 보관된 회원정보를 조회하였다. ＊ ※ SQL 인젝션 : DB에 대한 질의값을 조작하여 해커가 원하는 자료를 DB로부터 빼내는 공격 기법 ‘23. 10. 17. ~ 11. 8. 기간동안 외부에 노출된 피심인의 개발시스템에 해커가 ‘웹 스캐닝’을 통해 로그인 페이지의 SQL 인젝션 취약점을 확인하였다.
항목: 성명·연락처·이메일·생년월일·나이·아이디·비밀번호 - 2024-11-13 · (비실명) · 제2024-019-245호 · 유출 1,953명 · 과징금 4,280만 원 원문 ↗
해커가 피심인의 대표 홈페이지＊에 존재하는 웹로직 취약점＊＊(CVE-2017- 10271)을 악용, 내부 저장공간에 악성파일(웹셸)을 업로드하여 개인정보를 탈취 후 텔레그램에 유포하였다. 해커가 공개한 파일을 분석한 결과, 학생 2천여명(4천여건)의 개인정보(이름, 학과, 학번, 휴대전화번호)가 포함된 것으로 확인되었다. ＊ ＊＊ WLS Security 구성 요소에서 부적절한 사용자 입력 값 처리로 인해 인증되지 않은 공격자가 WebLogic의 권한으로 원격 코드 실행이 가능한 잘 알려진 취약점으로 관리자 계정에 로그인 없이, 다양한 명령(업로드, 다운로드 등)를 원격 수행 가능 해커가 업로드한 웹셸(2.jsp)을 통한 다량의 데이터 통신(169.91MB)으로 보이는 웹로그 기록과 피심인 소속 직원과 인터뷰 및 텔레그램에 공개된 파일을 보유중인 파일과 비교해 볼 때, 해당 웹로그 기록은 개인정보 파일이 유출된 정황으로 보인다.
항목: 성명·연락처·학적·성적 - 2024-11-13 · (비실명) · 제2024-019-244호 · 유출 537명 · 과징금 1억 9,300만 원 원문 ↗
해커가 피심인의 대표 홈페이지＊에 존재하는 웹로직 취약점＊＊(CVE-2017-10271)을 악용, 내부 저장공간에 악성파일(웹셸)을 업로드하여 개인정보를 탈취 후 텔레그램에 유포하였다. 해커가 공개한 파일을 분석한 결과, 학생·교직원 등 20명 이상의 주민등록번호를 포함한 5백여명(2천여건) 이상의 개인정보(이름, 학과, 학번, 주소, 연락처, 소속, 사번 등)가 포함되어 있었다. ＊ ＊＊ WLS Security 구성 요소에서 부적절한 사용자 입력 값 처리로 인해 인증되지 않은 공격자가 WebLogic의 권한으로 원격 코드 실행이 가능한 잘 알려진 취약점으로 관리자 계정에 로그인 없이, 다양한 명령(업로드, 다운로드 등)를 원격 수행 가능 해커가 업로드한 웹셸(5.jsp)을 통한 다량의 데이터 통신(288.32MB)으로 보이는 웹로그 기록과 피심인 소속 직원과 인터뷰 내용 및 텔레그램에 공개된 파일을 비교해 볼 때, 해당 웹로그 기록은 개인정보 파일이 유출된 정황으로 보인다.
항목: 주민등록번호·성명·연락처·주소·학적·성적·소속·직위 - 2024-09-25 · 한국사회복지협의회 · 제2024-016-232호 · 유출 1,353,327명 · 과징금 4억 8,300만 원 원문 ↗
홈페이지의 비밀번호 변경 기능에 존재하는 취약점을 악용하여, 해커가 이용자 계정의 비밀번호를 무단으로 변경하고, 로그인하여 개인정보를 열람하였다.
항목: 주민등록번호·성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 - 2024-08-28 · (비실명) · 제2024-217-572호 원문 ↗
신원 미상의 자(이하 ‘해커’)가 웹셸＊ 공격으로 피심인이 운영하는 웹사이트에 침입하여 개인정보를 유출한 것으로 추정되며, ＊ 웹셸(Webshell) : 업로드 취약점을 통하여 시스템에 명령을 내릴 수 있는 코드, 웹셸 설치 시 보안 시스템을 피하여 별도의 인증 없이 시스템에 쉽게 접속 가능 해커가 실행한 것으로 추정되는 웹셸 파일기록 등은 남겨져 있으나 접속기록 등이 보존·관리되지 않아 자세한 유출경위·시기는 파악이 불가하였다. 다만, 서비스를 ’14. 7. 21. 종료하였음에도 불구하고, DB 테이블 내 최신 데이터 등록 시점이 ’20. 7. 27. 로 확인되어 ‘20. 7. 27. 직후에 유출된 것으로 추정된다.
항목: 성명·연락처·이메일 - 2024-06-26 · (비실명) · 제2024-011-188호 · 과징금 6,778만 8,000 원 원문 ↗
해커는 피심인이 운영하는 광고 공모전 페이지( )에 SQL 인젝션 공격(’22. 9. 1. ~ 19.)을 하여 관리자 정보 및 이용자의 개인정보를 획득하였으며, 이후 관리자 페이지( )에 접속하여 주식정보 사이트( )의 유료서비스 이용자 정보를 다운로드하였다. ’22. 9. 8 17:44 해커(61.43.242.68, 한국)가 피심인이 운영하는 광고 공모전 페이지( )에 SQL 인젝션 공격을 통해 DB에 있는 관리자 및 이용자 정보(DB 테이블명·세부항목 및 데이터)를 조회·수집(sqlmap 도구 이용)한 뒤, ’22. 9. 8., ‘22. 9. 10., ’22. 9. 15. 해커가 해외 IP를 통해 관리자 페이지( 를 확인하고, SQL인젝션 공격으로 획득한 관리자 계정정보를 이용하여 해당 페이지에 접속(로그인)하였다. ※ 해커는 9.8. 18:16에 관리자 페이지를 확인 후, SQL인젝션 공격으로 획득한 관리자 계정정보를 이용하여 9.10. 18:21에 관리자 페이지에 접속(로그인) 성공함 또한 ’22. 9. 10. 18:25~18:36 해커가 관리자 페이지에 접속하여 주식정보 사이트( )의 유료서비스 이용자 정보를 엑셀로 다운로드하였다.
항목: 아이디·비밀번호·IP·접속기록 - 2023-10-25 · ㈜오브콜스 · 제2023-017-231호 · 유출 241,241명 · 과징금 3,371만 3,000 원 원문 ↗
(유출 경위) 해커는 피심인이 ’17. 11. 27.부터 운영 중인 웹페이지의 파일 업로드 취약점을 이용하여 웹셸 파일을 올린 후 DB 관리도구( )를 이용해 DB에 접근하여 이용자의 개인정보를 유출함
항목: 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 - 2023-10-25 · 주식회사 자동차공임나라 · 제2023-017-230호 · 유출 728,680명 · 과징금 1,250만 9,000 원 원문 ↗
신원 미상의 자(이하 ‘해커’라 한다)는 ‘22.2.24. ~ 3.19.까지 피심인이 운영 중인 홈페이지에 접근하였으며, 홈페이지 취약점( )을 이용해 웹서버에 웹셸 파일을 올리고 DB관리도구를 통해 DB에 접근한 후 DB를 복사하여 이용자 개인정보를 유출하였다. ※ 피심인은 홈페이지 운영을 위해 프로그램으로 을 이용하면서 ‘19년에 공개된 보안취약점에 대한 패치를 적용(업데이트)하지 않음
항목: 아이디·비밀번호 - 2023-10-11 · 신일전자㈜ · 제2023-016-211호 · 유출 28,472명 · 과징금 2억 2,400만 원 원문 ↗
(유출 경위) ‘19. 1. 17. ~ ’22. 10. 25. 동안 신원 미상의 자의 SQL 인젝션＊ 공격으로 이용자 개인정보 및 관리자 계정＊＊ 등이 유출되었다. ＊ 웹사이트 취약점을 이용해 악의적인 SQL(Structured Query Languange, DB 조회 등을 위해 사용하는 프로그램 언어)문을 실행되게 함으로써 DB를 비정상적으로 조작하는 공격 기법 ＊＊ 온라인 문의 게시판에 사용된 관리자 계정 14개로 확인되며, 평문으로 저장된 비밀번호를 포함한 계정정보(ID/PW)가 다크웹에 공개됨 - 또, 조사과정에서 관리자 페이지가 검색엔진( )에 노출되는 사실을 확인하였는데, 관리자 페이지는 별도의 로그인 절차 없이＊ 접근이 가능하여 이용자의 개인정보가 조회되는 사실을 확인함 ＊ 관리자 페이지 URL을 호출할 경우 로그인 없이 본문 내용을 조회할 수 있었으며, 해당 페이지에 대한 접근통제 조치를 하지 않아 인증과정 없이 관리자 페이지에 접속 가능
항목: 성명·연락처·이메일·주소·아이디·비밀번호·IP·접속기록 - 2023-10-11 · 슈나이더일렉트릭코리아 주식회사 · 제2023-016-210호 · 유출 20,681명 · 과징금 799만 6,000 원 원문 ↗
신원 미상의 자(이하 ‘해커’라 한다)가 SQL 인젝션＊ 공격(’22. 2. 22. ~ ’22. 3. 8.)을 통해 피심인의 DB에 접근하여 이용자 개인정보 및 관리자 계정정보를 탈취 후, 트위터에 게시하였다. ＊ 웹사이트 취약점을 이용해 악의적인 SQL(Structured Query Languange, DB 조회 등을 위해 사용하는 프로그램 언어)문을 실행되게 함으로써 DB를 비정상적으로 조작하는 공격 기법
항목: 성명·이메일·주소·아이디·비밀번호 - 2023-10-11 · (비실명) · 제2023-016-208호 · 유출 54,666명 원문 ↗
학생이 ’22. 6. 25. ∼ 7. 21. 피심인의 대표 홈페이지 관리자페이지의 파일 업로드 취약점을 이용하여 웹셸을 업로드하였고, 이를 통해 웹사이트 관리솔루션의 소스코드를 다운로드하여 데이터베이스 연결정보를 발견, SSO(인증시스템) 뷰테이블을 조회하여 회원 정보 데이터를 다운로드함으로써 개인정보가 유출되었다.
항목: 연락처·이메일·주소·생년월일·나이·아이디·비밀번호·학적·성적·소속·직위 - 2023-10-11 · (비실명) · 제2023-016-207호 · 유출 10,255건 · 과징금 3,750만 원 원문 ↗
학생이 ’22.10.15. 검색엔진(Censys)을 이용하여 피심인의 모의평가 시스템 관리자페이지에 접속하였고, 다양한 패스워드 조합을 시도하여 관리자 계정의 비밀번호를 알아내어 관리자 계정으로 로그인하는 등 관리자 계정 취약점을 이용하여 데이터베이스에 접근, 데이터를 다운로드함으로써 개인정보가 유출되었다.
항목: 주민등록번호·성명·연락처·아이디·비밀번호 - 2023-10-11 · (비실명) · 제2023-016-206호 · 유출 34,288건 원문 ↗
학생이 ’22. 7. 19. 피심인의 현장실습관리시스템의 특정 소스코드( )에서 입력된 파라미터에 대한 검증이 누락된 점을 이용하여 웹사이트 관리 솔루션의 주요 소스코드를 다운로드하였고, 이를 통해 발견한 데이터베이스 접속 정보 및 파일 업로드 취약점을 이용하여 웹셸을 업로드하는 방식으로 회원정보 테이블에 접근하여 데이터를 다운로드함으로써 개인정보가 유출되었다.
항목: 아이디·비밀번호·학적·성적 - 2023-10-11 · (비실명) · 제2023-016-203호 · 유출 700,054건 · 과징금 5,750만 원 원문 ↗
피심인 소속 학생 2명(보안 동아리 소속, 이하 ‘학생들’)이 보안 취약점을 점검한다는 명분으로 ’21. 8월부터 ’22. 10월까지 자택·기숙사·동아리방 등에서 피심인의 업무시스템 및 웹사이트를 탐색하였고, ①파라미터 변조, ②웹셸 업로드, ③관리자페이지 취약점 이용 등 방법으로 개인정보처리시스템에 무단으로 접속하여 데이터를 다운로드함으로써 개인정보가 유출된 것으로, 세부 유출 경위는 아래 표와 같다.
항목: 주민등록번호·학적·성적 - 2023-06-28 · (비실명) · 제2023-006-057호 · 유출 1명 원문 ↗
피심인은 홈페이지 운영을 위해 ‘JEUS(제우스) 7 Fix4’ 버전 소프트웨어를 이용하면서 ‘JEUS Session 보안 취약점’에 대한 패치＊를 적용하지 않아 세션 오류가 발생하였고, ＊ 이미 발표된 소프트웨어 제품에서 발견된 사소한 기능 개선 또는 버그나 오류 등을 수정하기 위해 개발자(개발 회사)가 내놓는 업데이트 프로그램 세션 오류로 인해 홈페이지에 접속한 이용자 A가 비슷한 시간대에 접속한 이용자 B의 개인정보를 확인하면서 개인정보 유출 사고가 발생하였다.
항목: 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 - 2023-06-28 · (비실명) · 제2023-006-056호 · 유출 46,134명 · 과징금 11억 3,178만 6,000 원 원문 ↗
피심인은 홈페이지( )에 서비스 관련 1:1 상담문의 게시판을 운영하면서, 개인정보처리시스템에 대한 접근 제한 및 유출 탐지, 취약점 점검 및 그에 따른 조치, 안전한 세션 관리 등 접근통제 등의 보호조치를 소홀히하여 해커가 관리자 페이지의 로그인 세션을 탈취하였고, 이를 통해 관리자 페이지에 접속 및 대량의 개인정보를 조회하면서 유출 사고가 발생하였다.
항목: 성명·연락처·이메일·아이디·비밀번호 - 2023-06-27 · (비실명) · 제2023-213-249호 · 유출 4,303명 원문 ↗
’○○○○○종합지원센터 홈페이지‘ 내 문자발송 기능과 장난감 대여기능 추가 등 기능개선 용역을 진행하는 과정에서 관리자페이지에 접근을 허용하는 권한 체크 기능이 누락되어 유출이 발생하였다.
항목: 성명·연락처·아이디·비밀번호 - 2023-06-27 · (비실명) · 제2023-213-248호 · 유출 31,528명 원문 ↗
’○○○○○종합지원센터 홈페이지‘에서 비밀번호 등 사용자가 입력하는 값에 대하여 SQL 구문과 같은 입력값을 제한하지 않고, 게시판에 업로드가 가능한 파일에 대해 검증하지 않아, 해커가 웹취약점을 이용하여 회원정보 31,528건을 탈취하였다.
항목: 성명·연락처·이메일·주소·아이디·비밀번호 - 2023-06-14 · (비실명) · 제2023-212-221호 원문 ↗
부터 홈페이지를 통해 데, 시스템 오류로 인해 에게 다른 이용자의 개인정보(이름, 이메일, 휴대전화번호)가 유출되었다. 피심인은 부터 홈페이지 운영에 소프트웨어를 이용하였는데 해당 소프트웨어는 있는 취약점이 있어, 패치가 적용되지 못한 상태로 운영 중이었으며, 접속자 증가로 세션 정보가 잘못 수신되는 해당 오류가 발생하여 이용자의 개인정보가 다른 이용자에게 노출되었다.
항목: 성명·연락처·이메일·주소 - 2023-06-14 · (비실명) · 제2023-212-219호 · 유출 1명 원문 ↗
피심인은 ‘제품문의 게시글’에 대한 소스코드 설정 오류, 해당 웹페이지에 대한 검색엔진(구글) 크롤링 설정 및 비정상 호출 차단 조치를 소홀히 하여 개인정보가 유출되었다. 피심인은 쇼핑몰 홈페이지 내 제품문의 페이지의 게시글을 타인이 볼 수 없도록 비공개로 설정·운영하였으나, 해당 비공개 설정을 관리자 외의 자가 해제(수정)할 수 없도록 조치＊하지 않았다. ＊ 게시글을 작성자 본인 외의 자가 볼 수 없도록 비공개 설정(lock)하였으나, 누구든지 해당 웹페이지의 ‘개발자 도구’ 설정 항목에서 잠금(lock) 처리된 설정(소스코드)을 해제(수정)할 수 있었음 아울러 피심인은 구글 검색로봇에 의해 제품문의 페이지가 크롤링 되지 않도록 조치하지 않았으며, 해당 페이지에 대한 정상적인 접근＊이 아닐 경우, 제품문의 글이 호출되지 않도록 조치하지 않아 ‘제품문의 게시판’이 구글에 크롤링 되었다. ＊ 해당 페이지를 호출하기 위한 필수 파라미터 값(상품 코드, 페이지 번호, 전체 리스트 개수) 없이 URL(https://www. )을 직접 입력하여 접속할 경우, 정상적인 접근이 아니므로 제품문의 페이지가 호출되지 않아야 함 이에 따라, 제품문의 게시글에 개인정보를 포함해
항목: 성명·연락처·주소 - 2023-06-14 · (비실명) · 제2023-212-218호 원문 ↗
피심인은 멤버십 이용 내역에 관한 취약점을 개선하는 과정에서 소스 코드가 잘못 수정되어 에게 의 개인정보(이름, 전화번호, 이메일)가 노출되었다. 피심인은 한정하여 공개하는 를 운영하면서, 화면에서 확인할 수 있어야 하나, 소스코드 오류로 이름, 전화번호, 이메일 주소를 확인할 수 있어 개인정보가 노출되었다.
항목: 성명·연락처·이메일 - 2023-05-10 · (비실명) · 제2023-008-078호 · 유출 1,130건 원문 ↗
해커가 피심인의 ‘ 홈페이지’를 대상으로 SQL 인젝션 공격을 통해 관리자 권한을 탈취한 후 ‘점검시스템’에 웹셀 파일 업로드, 시스템내 개인정보 1,130건을 다운로드한 사실을 확인하였다.
항목: 성명·연락처·이메일·아이디·비밀번호·소속·직위 - 2023-05-10 · (비실명) · 제2023-008-072호 · 유출 652,930명 · 과징금 7,475만 원 원문 ↗
- 신원미상의 자가 피심인의 파일 업로드 취약점을 이용하여 웹셸 1) 공격대상 웹 사이트의 게시판, 자료실 등과 같은 파일 업로드 기능을 이용해 웹셸을 업로드한 후 실행하여 해당 웹서버 정보를 수집하여 공격하는 기법으로 서버 명령을 실행할 수 있는 JSP(Java Server Pages) 등이 이에 해당함 닫기 ( )을 업로드하였고, - 웹셸을 이용하여 웹서버에서 원격데스크톱 서비스로 유휴서버인 서버＊에 연결( )한 후 ＊ 사업 종료( ) 후 네트워크가 연결된 채로 DMZ에 방치됨 - 2023-04-12 · (비실명) · 제2023-006-058호 · 과징금 액수 비공개 원문 ↗
(유출 경위) 신원미상의 자(이하 ‘해커’)의 SQL Injection＊ 공격으로 피심인이 운영하는 테스트 서버의 이용자 개인정보가 유출되도록 함 ＊ DB 관리 언어인 SQL(Structured Query Language)을 주입(Injection), 보안취약점을 이용하여 DB의 자료를 뺴내는 공격 - 피심인은 홈페이지 서비스 개발을 위해 실제 이용자 DB와 연동된 테스트 서버를 운영하였는데, 동안＊ 테스트 서버에 웹 방화벽 설정, IP 주소 제한 등 별도의 보안 설정을 하지 않았음 ＊ 테스트 작업 완료 후 접근통제 조치를 하여야 하나 실수로 외부 접근 차단을 누락함
항목: 주소·IP·접속기록 - 2023-03-22 · (비실명) · 제2023-005-043호 · 과징금 9,800만 원 원문 ↗
(유출 경위) ①웹서버 설정 오류로 인한 디렉토리 리스팅 취약점＊ 미조치 및 ② 관리자페이지 접근 시 인증절차(로그인 등) 누락으로 개인정보가 외부로 유출됨 ＊ 디렉토리 리스팅 취약점 : 웹 서버의 특정 경로에 있는 파일들을 디렉토리 형식으로 볼 수 있도록 설정하여 외부에서 디렉토리 내에 보유하고 있는 파일 목록 확인 및 접근이 가능
항목: 연락처·이메일·아이디·비밀번호·IP·접속기록 - 2023-03-08 · (비실명) · 제2023-004-037호 원문 ↗
(유출 경위) 피심인은 이용자가 본인인증 방식으로 회원가입 시 직접 입력한 이메일 주소에 대한 유효성 확인 절차를 마련하지 않고, 이용자 A가 간편인증 방식( 부터 운영)으로 회원가입 시 이메일 주소만 일치해도 동일한 회원으로 식별되도록 인증 시스템(인증로직)을 잘못 설정하여, ※ - 이미 본인인증 방식으로 회원가입을 완료한 이용자 B의 이메일 주소＊와 중복되었는데도, 이용자 A가 이용자 B의 계정으로 로그인 처리되어 이용자 A에게 이용자 B의 개인정보가 유출되었음 ＊ 이용자 B는 본인인증 방식으로 회원가입 시 이메일 주소를 잘못 입력하여 이용자 B의 본래 이메일 주소가 아닌 이용자 A의 이메일 주소로 등록함
항목: 성명·연락처·이메일·주소·아이디·비밀번호·IP·접속기록 - 2023-03-08 · (비실명) · 제2023-004-036호 · 과징금 액수 비공개 원문 ↗
(유출 경위) 피심인은 을 개편하면서, 디렉토리 리스팅＊ 차단 설정을 누락하여 이용자의 등이 포함된 개인정보 파일이 검색엔진에 노출되었음 ＊ 디렉토리 리스팅 : 특정 디렉토리(폴더)를 웹 브라우저에서 열람하면 해당 디렉토리(폴더) 내 목록과 파일이 직접 조회될 수 있도록 설정하는 옵션 - 2023-03-08 · (비실명) · 제2023-004-035호 · 과징금 액수 비공개 원문 ↗
(유출 경위) 해커가 웹셸＊ 공격을 통해 확보한 것으로 추정＊＊되는 계정정보를 통해 개인정보처리시스템에 접속 및 주문정보를 다운로드하여 이용자의 개인정보가 유출됨 ＊ 웹셸(Webshell) : 업로드 취약점을 통하여 시스템에 명령을 내릴 수 있는 악성 코드 ＊＊ 계정정보 탈취 관련 다수의 웹셸 실행로그는 기록되어 있으나, 접속기록 보유기간 경과로 해당 웹셸의 업로드 경위·수행 작업 등은 확인 불가
항목: 성명·연락처·이메일·주소·아이디·비밀번호·IP·접속기록 - 2022-11-30 · (비실명) · 제2022-019-156호 · 유출 48명 원문 ↗
(유출 경위) 해커는 ’21. 5. 6.부터 ’21. 5. 9.까지 SQL 인젝션 공격을 하여 피 심인이 운영하는 문자발송 서비스의 이용자 계정정보를 탈취한 후 , 스팸문 자(약 29만건 )를 발송하였다.
항목: 아이디·비밀번호 - 2022-11-16 · (비실명) · 제2022-018-153호 · 유출 9명 원문 ↗
(유출경위) 해커는 피심인의 문자발송 홈페이지( ) 디렉터리 접근 설정 취약점＊을 이용하여, 웹서버에 접속하고 데이터베이스 연동 설정파일 등을 다운로드＊＊한 후 이용자 계정을 탈취함 ＊ 디렉터리 접근 공격 : 웹브라우저를 이용해 웹서버의 파일 목록과 파일에 접근할 수 있는 취약점 ＊＊ - ’21. 12. 6. 00:29 : 해커가 디렉터리 접근 공격으로 ‘ ’ 홈페이지 웹서버(이하 ‘사고서버’)의 파일( )을 다운로드함 - ’21. 12. 6. 00:35 : 해커는 SSH＊를 통해 사고서버에 ‘ ’ 계정으로 접속 성공함 ＊ SSH(Secure Shell) : 원격 서버(호스트)에 접속하기 위해 사용되는 보안 프로토콜 - ’21. 12. 6. 00:58 : 해커는 디렉터리 접근 공격으로 사고서버에서 데이터베이스 연동정보가 저장되어 있는 ‘ ’ 파일을 다운로드함 - ’21. 12. 6. 02:15 : 해커는 사고서버에 등 웹셸 파일을 생성하여 실행하였고, 이를 통해 데이터베이스 내 계정정보를 탈취한 것으로 추정
항목: 성명·연락처·이메일·아이디·비밀번호 - 2022-09-28 · (비실명) · 제2022-016-129호 원문 ↗
및 규모 신원 미상자가 홈페이지 게시판( )의 파일 업로드 취약점을 이용하여 웹쉘 파일을 업로드‧실행하여 홈페이지 회원의 이메일주소, 비밀번호 7,187건을 유출하였다. ＊ 게시판에 .php파일이 .jpg파일로 위장되어 업로드됨 나. 경과 및 대응 2. 개인정보보호 법규 위반 행위 사실 피심인은 홈페이지( )를 운영하면서 홈페이지 내 게시판의 파일 업로드 폴더에 실행권한을 차단하지 않고 회원의 비밀번호를 안전하지 않은 암호알고리즘(MD5)으로 암호화하여 저장하여 보관하는 등 개인정보처리시스템의 안전성 확보 조치를 소홀히 하였다. - 2022-09-28 · (주)엘지유플러스 · 제2022-016-128호 원문 ↗
및 규모 신원 미상자( )가 내 하위페이지( .php＊)의 취약점을 활용하여 SQL injection 공격을 하여 엘지유플러스의 임직원․대리점직원 등 개인정보(이메일주소, 비밀번호(dummy＊＊, 암호화))가 유출되었다. ＊ ＊＊ 나. 경과 및 대응 2. 개인정보보호 법규 위반 행위 사실 가. 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 피심인은 홈페이지 내 하위 페이지( .php)를 로그인 없이 접근 가능하도록 운영하였고 해당 페이지에 SQL Injection 공격을 유발할 수 있는 특수 문자를 차단하지 않는 등 접근 통제에 관한 안전조치를 소홀히 하였다. - 2022-08-10 · (비실명) · 제2022-013-103호 · 유출 1,536,399건 · 과징금 액수 비공개 원문 ↗
(유출경위 ) 해커는 웹 취약점, 접근통제 미흡을 이용해 DB 에 무단 접근하여 개인정보를 조회 ‧유출 - ’16. 1. 29. : 피심인이 온라인 쇼핑몰 서비스 운영을 시작 - ‘22. 3. 10. 10:02 : 해커가 알 수 없는 방법으로 취득한 관리자계정 ( )으로 관리자페이지에 로그인 성공 - ‘22. 3. 10. 10:24 : 해커가 관리자페이지에 원격접속이 가능한 웹셸코드 삽입 - ’22. 3. 10. 11:25 : 해커가 DB관리도구 설치
항목: 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·계좌·카드번호·IP·접속기록 - 2022-05-25 · (비실명) · 제2022-009-054호 원문 ↗
및 규모 피심인은 ‘21.9.2 ~ 9.5 불상의 해커로부터 SQL 인젝션＊ 공격을 받아 홈페이지 및 홈페이지 DB에 저장되어 있던 개인정보가 유출되었다. ＊ SQL 인젝션(Structed Query Language Injection) : 데이터베이스에 대한 질의값을 조작해 해커가 원하는 자료를 데이터베이스로부터 유출하는 공격 기법 접속기록 분석 결과 건의 개인정보가 유출된 것으로 확인되었으며, 은 ID, 비밀번호, 이름, 주소, 집전화번호, 핸드폰번호, 이메일 항목이 유출되었고, 는 ID, 비밀번호, 이름, 생년월일, 주소, 집전화번호, 핸드폰번호, 이메일 항목이 유출되었다. - 2022-04-27 · (비실명) · 제2022-007-044호 · 유출 163건 원문 ↗
(유출경위) 피심인은 체육 강사를 대상으로 추가 할인을 제공하기 위해 체육 강사 자격증을 업로드 할 수 있는 강사 회원 신청 게시판을 운영하였는데, - 2020. 4. 6. ~ 4. 22. 동안 신원 미상의 자가 인터넷주소에 포함된 파라미터를 변조＊하여 타인의 첨부파일(강사 자격증) 163건을 열람함 ＊ 게시판 파라미터 중 일부(product→gallery)를 변경하면 게시판 유형을 기존 목록형에서 이미지형으로 변경하여 비밀글의 첨부파일이 미리보기 형태로 열람
항목: 주민등록번호·성명·주소·생년월일·나이·사진·영상 - 2022-03-23 · (비실명) · 제2022-005-020호 원문 ↗
및 규모 신원 미상자(홍콩 IP)가 홈페이지 취약점을 이용하여 해킹 공격(웹쉘, WebShell) 1) 웹쉘(Web Shell)은 시스템에 명령을 내릴 수 있는 코드로서, 간단한 서버 스크립트로 만드는 방법이 널리 사용되고 있으며 웹서버 취약점을 통해 스크립트가 업로드되면 해커들은 보안 시스템을 피해 별도 인증 없이 시스템에 접속 가능하여 원격으로 해당 웹서버를 조종할 수 있음 닫기 을 통해 서버에 접근, 관리자페이지에 접속 후 회원에게 광고성 스팸 메일을 발송하여 회원의 이메일 주소 건(중복 포함)이 유출되었다. 나. 유출 경과 및 대응 - ’21.7.3. 신원 미상자(홍콩 IP)가 홈페이지 관리자페이지에 접근하여 회원 정보를 조회하고, 관리자페이지의 메일보내기 기능을 이용하여 회원들에게 광고성 스팸메일(건)을 발송
기타·미상
결정문 원문 보기 32건
- 2026-08-26 · 양평군청 · 제2026-216-354호 · 유출 275명 원문 ↗
1) 법률 제19234호, 2023. 3. 14. 일부개정 - 2 - 정신건강복지센터 소속 직원 황ㅇㅇ은 사업대상자의 개인정보가 포함된 엑셀 파일 (등록관리대장)을 대여한 노트북에 저장한 상태로 해당 노트북을 소유자인 A 에게 인도하였다. 황ㅇㅇ은 정신건강팀에서 계약직으로 근무 (’21. 11. ~ ’22. 1.)하였으며, A의 고발에 따라 양평경찰서에서 수사하였으나, 고의 유출 정황이 없어 무혐의 종결되었다.
항목: 성명·연락처·생년월일·나이·건강·진료 정보 - 2026-08-26 · 에너지경제연구원 · 제2026-207-114호 원문 ↗
북한연은 ’19. 7월부터 9월까지 ‘북한에너지산업 현황 및 유통 상황에 관한 설문 조사’를 실시하고 설문 참여자에게 설문조사 사례비를 지급하였으며, 이후 원천 징수신고를 위하여 설문 참여자의 개인정보가 담긴 엑셀파일을 SD카드에 보관 하였다. 이후 ’22. 5월 북한연은 대북풍선을 살포하였으나 가평군 야산에 낙하하였고, 이를 회수한 경찰이 풍선 안의 SD카드에서 북한연이 실시한 설문조사에 응답한 1) 법률 제14839호, 2017. 7. 26. 시행
항목: 주민등록번호·성명·연락처·주소 - 2026-04-08 · 신정고등학교 · 제2026-207-113호 원문 ↗
피심인 소속 직원이 ’24. 2. 26. 홈페이지에 ‘‘24학년 신학년 교실 책걸상 재배치 인력 신청 글’을 게시하면서 개인정보가 포함된 엑셀파일을 첨부하여 개인정보가 유출되었다.
항목: 성명·연락처·이메일·주소·생년월일·나이·학적·성적 - 2026-03-25 · 서울특별시 · 제2026-206-091호 원문 ↗
’23. 10. 13. 피심인 소속 은평병원 직원이 개인정보가 포함된 ‘마약류 중독자 치료보호 연장신청’ 공문의 공개범위를 ‘대국민 공개’로 설정하여, 해당 공문이 에 공개됨으로써 개인정보가 유출되었다.
항목: 성명·주소·생년월일·나이 - 2026-03-25 · 호원대학교 · 제2026-206-088호 · 유출 1명 원문 ↗
피심인은 ’20.5월∼’23.9월 학생들이 홈페이지에 가입할 때 최초 ID와 비밀번호를 학번으로 동일하게 부여해왔다. 이러한 사정을 알고 있던 학생 1명이 ’22.11월∼’23.3월 학생들의 계정 정보로 ‘ ’에 접속하여 DB에 저장되어 있던 입사지원서 등 119명의 개인정보를 다운로드하였다.
항목: 성명·연락처·이메일·주소 - 2026-03-25 · 한강시스템(주) · 제2026-202-034호 원문 ↗
피심인은 ’18.2월부터 서비스를 운영하면서 ‘22.8월 단축URL을 생성한 후 이를 카카오 알림톡으로 제공하는 기능을 추가하는 과정에서 알림톡 제공 시스템 설계 오류로 이용자에게 중복된 단축URL을 발급하여 타인에게 개인정보가 공개되었다.
항목: 성명·연락처 - 2026-03-25 · 공무원연금공단 · 제2025-026-305호 · 유출 1,036명 · 과징금 5억 3,200만 원 원문 ↗
정○○는 (’21.1월~2월) 및 (’22.9월)에서 기간제 로 근무하였던 자로서, ’22. 4. 4.부터 ’23. 2. 6.까지 , , , 등 4개 기관 명의로 총 5차례에 걸쳐 연금담당자 등록(변경) 신청서를 위조하여 피심인으로부터 연금담당자 권한을 부여 받았다. 정○○는 피심인으로부터 부여 받은 권한을 이용하여 ’22. 4. 5.부터 ’23. 10. 23.까지 시스템에 62회 접속하여 및 소속 공무원의 개인정보에 접근하였다(조회 8회, 수정 4회, 다운로드 6회). 기관별 연금담당자 등록 신청 및 승인 내역은 아래 표와 같다. 피심인은 정○○가 제출한 신청서에 신청자 서명 및 기관장 직인이 누락, 위조 직인 날인 등 의심 정황이 있었음에도 진위를 제대로 검증하지 않은 채 5차례 모두 정○○에게 기관 연금담당자 권한을 부여하였다.
항목: 주민등록번호·성명·소속·직위 - 2025-12-10 · 강원특별자치도교육청 · 제2025-223-471호 원문 ↗
피심인은 산업안전보건법에 따라 현업종사자를 대상으로 매년 실시하는 일반건강진단 수검 독려를 위해 직속기관 및 교육지원청에 검진 독려 및 실시 결과 취합을 위한 공문을 시행하면서 관내 개 기관 소속 현업종사자 명의 개인정보가 포함된 ‘일반건강진단 인원별 실시 현황’(엑셀파일) 자료를 첨부하였다. 피심인은 위 공문에서 각 교육지원처엥 관내 공립학교(단설 유‧초‧중‧고‧특) 및 소속기관에 이첩 시행하고, 취합 결과를 도교육청에 보고할 것을 요청하였다. 위 공문을 수신한 각 교육지원청은 관내 학교에 위 공문을 이첩 시행하면서 ‘일반건강진단 인원별 실시현황’(엘셀파일) 자료를 그대로 첨부하였으며, 공문을 수신한 기관 중 개 기관 소속 교직원 명이 위 첨부파일에 접근함으로써 현업종사자들의 개인정보가 유출되었다. 특히, 강릉 및 양구 지역의 경우 공립학교 뿐만 아니라 일부 사립학교에도 공문이 시행되었으며, 그 중 1개교가 이를 열람하였다. 이로 인해 피심인이 관할하는 기관에 근무하는 현업종사자들의 개인정보가 유출되었다.
항목: 성명·건강·진료 정보·소속·직위 - 2025-11-20 · 한국외국어대학교 · 제2025-221-427호 원문 ↗
한국외대의 개 학과( )는 각 학과 누리집에 외국인 유학생 대상 멘토링 프로그램 신청 안내 공지글을 게시하면서 외국인 유학생의 개인정보가 포함된 엑셀파일도 첨부하여 외국인 유학생 1,775명의 학적정보가 유출되었다.
항목: 학적·성적 - 2025-06-25 · 경기도화성오산교육지원청 · 제2025-212-277호 원문 ↗
’24. 9. 19. 피심인 소속 직원이 급여작업을 요청하는 과정에서 개인정보가 포함된 조정수당 참고파일을 관내 공립학교 급여 담당자 238명에게 ‘경기도교육청 메신저’를 통해 전송하였다. 수신대상자 238명 중 151명은 해당 메시지를 확인하였다.
항목: 주민등록번호·성명 - 2024-06-12 · (비실명) · 제2024-212-423호 · 유출 12명 원문 ↗
기업회원이 플랫폼에 공고를 등록하면서 이메일 주소를 오기재하여 제3자의 이메일로 의 개인정보가 포함된 안내 메일이 발송되었다.
항목: 성명·이메일·주소·사진·영상 - 2023-11-08 · (비실명) · 제2023-018-236호 · 유출 4,779건 원문 ↗
피심인은 정보공개 청구인이 정보공개 요청한 관내 학원현황 자료(엑셀 파일)에 관내 학원강사의 주민등록번호가 포함되어 있음을 인지하지 못하고, 정보공개시스템을 통해 해당 자료를 정보공개 청구인에게 공개하여 학원강사의 주민등록번호가 유출되었다.
항목: 주민등록번호·성명·연락처 - 2023-07-26 · (비실명) · 제2023-013-180호 · 유출 1,476명 원문 ↗
피심인 소속 담당자는 사고 발생 당일(’22.11.1) 시스템＊에서 전체 임직원 정보를 엑셀파일로 다운로드하여 원본시트(‘sheet1＊＊’)를 생성한 후, 해당 시트를 활용하여 신규 직원 목록 시트(‘sheet2＊＊＊’)를 작성하였으며, ＊ 필요한 항목만 필터링해서 다운로드 할 수 있는 기능 부재로 전체 항목이 다운로드 됨 ＊＊ sheet1 : 유출 항목 전체 포함 ＊＊＊ sheet2 : 신규 직원의 사번, 성명, 소속기관, 직급 포함 임직원 정보가 포함된 원본 시트(‘sheet1’)를 삭제하지 않고 ‘초임등급 확정을 위한 증빙자료 제출 안내’ 공문에 첨부하였고, 해당 공문을 내 18개 기관(1개 소속부서 포함)에게 전자결재시스템을 통해 발송하였다. 전자결재시스템에는 개인정보 필터링 솔루션이 운영되고 있어, 해당 전자문서 결재과정에서 개인정보 포함 경고 메시지가 발생＊했으나, 담당자의 인식 부족으로 확인·조치하지 않았다. ＊ 전자문서 개인정보 필터링 솔루션에 해당 전자문서 상신 시(2022.11.1. 10:37), 전자문서 결재 시(2022.11.1. 11:07) 등 2건의 개인정보 포함 경고 메시지 발생 기록 존재
항목: 주민등록번호·성명·연락처·주소·생년월일·나이·계좌·카드번호·소속·직위 - 2023-07-26 · (비실명) · 제2023-013-179호 · 유출 839명 · 과징금 1,250만 원 원문 ↗
피심인이 민간인증서 연결을 위해 행정안전부에서 배포하는 ｢민간인증공통모듈｣ 1.0버전을 1.5버전으로 업그레이드하여 민간인증 2종을 추가하였으나, 주민등록번호를 입력하는 것에서 생년월일을 입력하는 것으로 변경이 있었고, [ 행정안전부 제공 민간인증 공통모듈 버전 비교 ] 이로 인해 1.0버전 당시 로그인 화면과 본인인증 요청화면에서 입력한 주민등록번호 간 일치여부를 확인하는 로직을 적용할 수 없게 되자, 전산업체는 대체 비교수단을 마련하지 않고 해당 로직을 삭제함에 따라, ※ 행안부는 이용기관이 시스템 사양에 맞게 개인정보 처리가 필요함을 안내하였음 로그인 화면의 이용자 인적사항에 타인의 성명과 주민등록번호를 입력하고, 본인인증 시 자신의 정보로 인증을 하면, 타인의 계정으로 로그인이 되는 오류가 발생하였다. ※ 수검기관은 다양한 브라우저 및 핸드폰기기에서 새로운 민간인증이 제대로 작동하는지에 대한 기능테스트는 수행하고, 유출사건과 같은 비정상 케이스에 대한 테스트는 수행하지 않음
항목: 주민등록번호·성명·건강·진료 정보 - 2023-07-26 · (비실명) · 제2023-013-177호 · 유출 1,206명 · 과징금 1,250만 원 원문 ↗
피심인 소속 직원 A는 ’22.07.24. 11:21 27개 에 ‘코로나19 4차 예방접종 대상자 명단＊’ 작성 및 회신을 요청하였고, 이에 따라 각 이 제출한 의 ‘코로나19 4차 예방접종 대상자 명단’을 하나의 엑셀파일 형태로 취합하였다. ＊ 성명, 주민등록번호, 연락처 등이 기재되어 있지 않은 빈 서식을 이메일에 첨부 직원 A는 ‘코로나19 4차 예방접종 대상자 명단’을 재차 확인하는 과정에서 취합한 ‘코로나19 4차 예방접종 대상자 명단’을 별로 구분하지 않고 전체 명단＊(엑셀파일)을 27개 의 담당자들에게 이메일로 전송함으로써 개인정보가 유출되었다. ＊ 엑셀파일에 비밀번호를 설정하였으나 이메일 본문에 해당 비밀번호를 기재함
항목: 주민등록번호·성명·연락처 - 2023-07-26 · (비실명) · 제2023-013-176호 · 유출 1,836명 · 과징금 1,250만 원 원문 ↗
피심인이 코로나대응허브시스템에서 다운로드 받은 자료를 재가공하여 관내 코로나19 확진자 1,836명에게 발송할 목적으로 격리통지서를 작성하였고, 온라인 문자 발송 서비스를 활용하여 확진자에게 문자 메시지를 개별 발송하는 과정에서 연락처가 3줄씩 밀려 입력되면서 확진자 전원에게 각기 다른 확진자의 격리통지서를 발송, 개인정보가 유출된 사실을 확인하였다.
항목: 주민등록번호·성명 - 2023-07-26 · (비실명) · 제2023-013-172호 · 유출 8,297명 · 과징금 1,625만 원 원문 ↗
피심인이 홈페이지 장학공지 게시판에「2022-1학기 결과 안내」 게시글을 등록하는 과정에서 개인정보가 포함된 첨부파일(엑셀)을 업로드( )하여 개인정보가 유출되었다. 선발결과 시트 외에 개인정보가 포함된 시트(‘ ’)는 [숨기기] 처리되어 있어서 업로드 당시에 담당자는 개인정보가 포함되어 있음을 인지하지 못하였으며, 업로드 이후 숨겨진 정보가 홈페이지 게시판의 ‘첨부파일 미리보기’ 기능을 통해 드러났다.
항목: 주민등록번호·성명·주소·학적·성적 - 2023-07-26 · (비실명) · 제2023-013-169호 · 유출 2,966,485건 원문 ↗
신원 미상의 자가 , 등 누구나 접근 가능한 온라인시스템 공용게시판에서 일반 게시글의 첨부파일 URL을 확인＊하고, 해당 URL의 파일 식별번호(첨부파일ID)를 변경, 인터넷 주소창에 무작위 대입 시도함으로써 성적파일을 다운로드하였다. ＊ 온라인시스템 게시판의 파일 다운로드 링크에 커서를 올려놓으면 URL이 표출됨 다. ‘ ’이 보호법상 민감정보에 해당하는 지 여부 추가 검토 보호법 제23조는 민감정보에 대한 정의를 두는 대신 민감정보의 종류를 열거하고 있으며, 이에 대해 보호법 해설서(157~164쪽)는 보호법령이 민감정보의 대상을 한정적으로 열거하고 있는 것이라는 취지로 설명하고 있어, 이 사건 ‘ ’의 경우 바로 보호법 상 민감정보로 판단하기 곤란한 측면이 있다.
항목: 성명·학적·성적 - 2023-06-28 · (비실명) · 제2023-011-114호 · 유출 26명 · 과징금 액수 비공개 원문 ↗
및 규모 (1) ’20. 4. 10. 개인정보 유출 신고 관련 ① 유출 경위 피심인은 데이터베이스(이하, ‘DB') 간 데이터 처리방식의 차이에 대한 이해를 소홀히 하고 DB를 교체하여, 기존 이용자의 개인정보가 신규 가입 이용자의 개인정보로 잘못 변경됨에 따라 이용자의 개인정보가 유출되었다. 피심인은 ’20. 3. 8. DB에서 DB로 변경하는 과정에서 두 DB 간 데이터 처리 방식의 차이＊를 인지하지 못하였다. ＊ DB는 ‘NULL’과 공백문자(“ ”) 모두 NULL로 인식하여 저장하는 반면, DB는 공백문자(“ ”)를 별도의 문자로 인식함 ’20. 3. 8.부터 4. 6.까지 만 14세 미만 이용자＊의 개인정보가 DB에 저장되는 과정에서 CI(Connecting Information: 연계 정보)값이 저장되는 DB 필드에 “NULL”이 아닌 공백 문자(“”)가 저장되었으며, 그 결과 CI값이 저장되는 DB 필드에 공백 문자(“”)가 저장되어 있던 기존 만 14세 미만 이용자 계정 260개의 개인정보(이름·생년월일)가 ’20. 3. 8. 이후 가입한 만 14세 미만 가입자 155명의 개인정보로 변경되었고, 이 중 최소 26명의 이용자가 내 ‘개인정보’ 메 - 2023-06-27 · (비실명) · 제2023-213-256호 · 유출 1명 원문 ↗
(유출 경위) 쇼핑몰의 서비스 속도 개선을 위해, 캐시서버＊ 설정을 변경하는 과정에서 이용자의 개인정보까지 캐싱하도록 잘못 설정하여, 이용자가 활동 중, 캐시서버에 저장된 다른 이용자의 개인정보를 전달받아, 마이페이지 등으로 접속 시 다른 이용자의 계정으로 로그인 처리되어 개인정보가 유출됨 ＊ 캐시 서버(Cache server) : 서비스 속도 개선을 위해, 이미지/동영상 등 변경되지 않는 데이터를 이용자와 가까운 곳에 임시 저장하여 빠르게 제공해주는 서버로서, 이용자별 변화하는 내용(회원정보 등)은 처리하지 않아야 함
항목: 성명·연락처·주소·아이디·비밀번호·IP·접속기록·사진·영상 - 2023-06-14 · (비실명) · 제2023-212-215호 · 유출 1명 원문 ↗
피심인의 고객센터에서 상담 업무를 수행하던 직원이 고객상담시스템에서 업무상 부여된 권한을 이용하여 무단으로 특정인의 전화번호를 조회하였고, 당시 열람한 정보를 기억해두었다가, 이후 사적 대화방에서 특정인이 사용하는 단말기 종류와 휴대폰 소액결제 방식으로 구매했던 내역을 언급하였다. 나. 유출 항목 및 규모 통신사 이용자(1명)의 이름, 단말기 종류 정보, 소액결제 구매 서비스명이 유출되었다. 다. 경과 및 대응 3. 개인정보보호 법규 위반 행위 사실 가. 개인정보 유출 통지·신고를 지연한 행위 피심인은 시스템 로그 확인을 통해 유출 사실을 인지(’22.6.17.)하였으나, 정당한 사유 없이 24시간을 경과하여 해당 이용자에게 유출 사실을 통지(’22.6.20.)하고 개인정보 포털에 지연 신고(’22.6.22)한 사실이 있다.
항목: 성명·계좌·카드번호·거래·구매 내역·IP·접속기록 - 2023-06-14 · (비실명) · 제2023-212-213호 · 유출 454명 원문 ↗
(유출 경위) 피심인은 ‘22. 9. 14., ’22. 9. 15. 2회에 걸쳐 이용자를 대상으로 이메일을 454명의 이용자에게 동보발송하여 타 이용자의 이메일 주소가 유출됨
항목: 이메일·주소 - 2023-06-14 · (비실명) · 제2023-010-109호 · 유출 10명 원문 ↗
피심인은 이용자 편의를 위해 모바일 환경(모바일 웹·앱)의 배송지 변경 기능을 개선하면서 개발 오류로 인해 회원인 이용자의 개인정보가 유출되었다. 피심인은 쇼핑몰 회원이 주문 결제 후 배송지 변경 시, 변경할 주소지 직접 입력으로 인한 오류·불편 등을 줄일 수 있도록 ‘지난 배송지 목록’이 자동 호출＊ 되는 기능을 시스템에 추가(’21.11.10.)하였으나, ＊ 피심인은 최대 10건의 정보가 자동 조회될 수 있도록 기본 설정하여 운영함 비회원인 경우, 배송지 관리를 별도로 하지 않으므로 해당 기능이 적용되지 않아야＊ 함에도, 비회원의 배송지 변경 시에도 자동 호출 기능이 작동＊＊되어 개인정보 유출 사고가 발생하였다. ＊ 회원/비회원에 따라 각각 이동하는 URL을 달리해야 하는데, 시스템 개선 작업 중 이동하는 경로를 회원/비회원 모두 동일한 URL(배송지 목록)로 오기입 ＊＊ 비회원이 주문 결제 후 배송지 변경 시, 최근 배송이 완료된 회원 10명의 배송지 정보가 보여짐
항목: 성명·연락처·주소 - 2023-05-10 · (비실명) · 제2023-008-082호 · 유출 3,155명 원문 ↗
피심인은 보관·관리중인 대행업체 정보 중 일부를 ’14.8.12부터 에 등록·연동하여 공개하고 있는데, 당초 자체 계획( )에 따라 대표자 성명, 업체명, 업체 전화번호, 업체 주소 등 4개 항목만 공개하려 하였으나, 최초 항목 등록시 원인 미상의 사유로 대표자 휴대전화번호 및 이메일 주소 등 2개 항목이 추가 포함되어 공개되었으며, 일부 사용자가 을 통해 획득한 해당 정보(2,813건)를 자신의 웹사이트( /폐쇄)에 API 연동 형태로 공개한 사실을 확인하였다. ※ ’14.8.12.∼’21.8.18. 을 통해 105명이 해당 정보를 신청·활용하였으며, 총 124,603건의 대행업체 정보를 조회함
항목: 연락처·이메일·주소 - 2023-04-12 · (비실명) · 제2023-006-050호 · 유출 1,070명 원문 ↗
졸업생(민○○)이 개인계정으로 시스템에 로그인한 후 이○○ 교사 이름으로 피심인 운영관리자에게 교직원의 접근권한을 요청하였고, 그 권한을 부여받아 회원정보(교사, 학부모, 학생)를 조회하고, 3회에 걸쳐 시스템에서 문자를 발송하였다. 3) 유출경과 및 대응 다. 기초 사실 1) 개인정보에 대한 안전성 확보조치를 소홀히 한 행위 피심인은 운영관리자 및 교사 권한으로 외부에서 관리자페이지에 접속할 경우 아이디와 비밀번호만으로 접속이 가능하도록 운영한 사실이 있다. 피심인은 개인정보처리시스템의 접속기록을 월 1회 이상 점검하지 않은 사실이 있다.
항목: 성명·연락처 - 2023-03-22 · (비실명) · 제2023-005-045호 · 과징금 액수 비공개 원문 ↗
(유출 경위) 피심인은 부터 계열사인 가 별도 승인 없이 피심인의 전체 있도록 개 - 3 - 인정보처리시스템을 운영하였고, 받은 회사 과정에서 접근권한이 없는 피심인의 회원정보를 열람하고 발송 함
항목: 이메일·주소 - 2022-11-30 · (비실명) · 제2022-019-160호 · 유출 1명 원문 ↗
(유출 경위) ’21. 11. 1. 피심인이 운영하는 온라인 쇼핑몰에서 이용자가 상품 주문을 위해 배송정보를 입력하고 결제를 완료한 후 배송정보 조회 시 다른 이 용자의 배송정보가 조회되었다.
항목: 성명·연락처·주소·계좌·카드번호 - 2022-11-30 · (비실명) · 제2022-019-157호 원문 ↗
(유출 경위) 피심인은 를 진행하면서 택배 물품의 수취인 송장을 잘못 부착하였으나, 이를 제거하지 않고 새로운 송장을 덧붙여 출고하여 택배를 수령한 고객이 타인의 개인정보를 볼 수 있게 됨 - 3 -
항목: 성명·연락처·주소 - 2022-11-16 · (비실명) · 제2022-018-151호 · 유출 6명 원문 ↗
(유출 경위) 이용자가 ‘ ’ 앱을 통해 에 접속하여 결제단계로 넘어가면 연동 오류가 발생하여 다른 이용자의 개인정보가 조회됨 - 피심인은 서비스를 ‘21. 1. 15.부터＊ 운영하였고, ’ ‘ 앱에서도 이용할 수 있도록 업데이트(’21.2.19.)함
항목: 성명·연락처·이메일·주소·계좌·카드번호 - 2022-09-28 · (비실명) · 제2022-016-130호 원문 ↗
및 규모 영업소장이 일반거래처 사용자계정을 생성하여 제3자에게 제공하였고, 제3자는 해당 계정으로 시스템에 접속하여 이름·전화번호를 검색해 전체 거래처에서 발송된 내역을 조회하고 해당 수기 운송장(이미지)에 있는 개인정보를 획득하였고, 고객의 이름, 전화번호, 주소 등 개인정보가 유출되었다. 2. 개인정보보호 법규 위반 행위 사실 가. 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 피심인은 시스템에서 일반거래처 계정으로 접속할 경우 특정 이름 또는 전화번호를 입력하면 본인 거래처에서 발송된 내역 뿐만 아니라 모든 거래처에서 발송된 목록이 조회되도록 권한을 설정하였다. 그 결과, 수기 운송장(개인정보) 이미지를 볼 수 있었다. - 2022-06-22 · 수원시청 · 제2022-011-066호 원문 ↗
및 규모 수원시 권선구 건설과 공무원 박○○은 업무수행을 위해 부여된 권한을 이용하여 흥신소에 2년여간 1,101건의 개인정보를 유출하였다. 16) 닫기 첫째로, 이 사건 공무원은 불법노점단속 업무 수행을 목적으로 자동차시스템을 이용하였다. 차량등록번호(15노＊＊＊＊)를 조회하여 차량 소유주의 개인정보를 검색하여 유출하였으며, 해당 시스템은 주민등록시스템과 연계되어있어 차량을 소유하지 않은 사람도 성명과 주민등록번호 조합으로 조회하여 개인정보 열람 17) 자동차시스템 조회가능항목 : 차량등록번호, 주소(세대주정보 등 포함), 주민번호, 전화번호, 차량 정보 등 닫기 - 2022-04-27 · (비실명) · 제2022-007-043호 원문 ↗
(유출경위) 유출 추정 시점( )에 운영한 시스템을 현재 보유하고 있지 않아 유출 경위 등을 파악하기는 어려움 - 개인정보 DB의 최종 가입일자( )를 토대로 이후 유출된 것으로 추정함
항목: 주민등록번호·이메일·아이디·비밀번호
외부 침입·해킹
결정문 원문 보기 30건
- 2026-07-22 · 용인시장학재단 · 제2026-214-293호 원문 ↗
중국 해커가 에 관리자로 접근, 이자 지원을 위한 신청서류 등을 열람·다운로드(’24.1.28.) 한 뒤, 관리자 계정정보와 함께 텔레그램에 게시(’24.1.29.)하였다.
항목: 주민등록번호·성명·연락처·이메일·주소·생년월일·나이 - 2026-07-22 · (재)대구광역시 동구문화재단 · 제2026-214-292호 원문 ↗
중국 해커가 에 대해 ‘ ’ 공격(’23.12.31.~’24.1.28.)을 하여 DB 내 회원가입자 개인정보를 탈취(176.96.138.211, 독일)하고, 이를 텔레그램에 게시(’24.1.28. 23:40)하였다.
항목: 성명·연락처·이메일·주소·생년월일·나이 - 2026-07-08 · ㈜데일리팜 · 제2026-213-268호 원문 ↗
피심인은 약학 관련 뉴스 및 정보중개업 등의 서비스를 제공하며, 웹사이트(dailypharm.com)를 운영하고 있다. 신원 미상의 자(이하 ‘해커’)가 알 수 없는 방법으로 획득한 관리자 계정을 통해 피심인의 개인정보 시스템에 접속하였고, 회원DB에 포함된 회원정보 중 일부를 유출하였다. 해커는 관리자 계정 접속 후 DB에서 회원 2명의 정보를 조회하였고, 전체 회원정보에 대한 다운로드를 시도하였지만 시스템 오류로 실패하였으나 회원DB 첫번째 페이지를 열람하였다.
항목: 성명·이메일·주소·아이디·비밀번호 - 2026-05-27 · ㈜미소테크 · 제2026-010-071호 · 유출 575,000건 · 과징금 8,250만 원 원문 ↗
신원 미상의 해커는 ’25.4.7. 알 수 없는 방법으로 ㈜미소테크의 네트워크 저장장치(이하 ‘NAS’)에 저장된 개인정보를 탈취하여 다크웹에 게시하였다. 해커( )가 ’25.4.7.14:19에 NAS에 저장된 로그를 모두 삭제하여 세부 유출경위를 확인할 수 없으나, 사고 당시 해당 저장장치는 외부 IP( )를 통해 접근이 가능한 상태였다.
항목: 성명·연락처·주소 - 2026-05-27 · 국립축산과학원 · 제2026-010-070호 원문 ↗
신원 미상의 해커는 ’25.4.7. 알 수 없는 방법으로 ㈜미소테크의 네트워크 저장장치(이하 ‘NAS’)에 저장된 개인정보를 탈취하여 다크웹에 게시하였다. 해커( )가 ’25.4.7.14:19에 NAS에 저장된 로그를 모두 삭제하여 세부 유출경위를 확인할 수 없으나, 사고 당시 해당 저장장치는 외부 IP( )를 통해 접근이 가능한 상태였다.
항목: 성명·연락처·주소 - 2026-05-27 · 국립농업과학원 · 제2026-010-069호 · 유출 844건 · 과징금 2,310만 원 원문 ↗
신원 미상의 해커는 ’25.4.7. 알 수 없는 방법으로 ㈜미소테크의 네트워크 저장장치(이하 ‘NAS’)에 저장된 개인정보를 탈취하여 다크웹에 게시하였다. 해커( )가 ’25.4.7.14:19에 NAS에 저장된 로그를 모두 삭제하여 세부 유출경위를 확인할 수 없으나, 사고 당시 해당 저장장치는 외부 IP( )를 통해 접근이 가능한 상태였다.
항목: 성명·연락처·주소 - 2026-05-27 · 농촌진흥청 · 제2026-010-068호 · 유출 571,000건 · 과징금 1억 6,800만 원 원문 ↗
신원 미상의 해커는 ’25.4.7. 알 수 없는 방법으로 ㈜미소테크의 네트워크 저장장치(이하 ‘NAS’)에 저장된 개인정보를 탈취하여 다크웹에 게시하였다. 해커( )가 ’25.4.7.14:19에 NAS에 저장된 로그를 모두 삭제하여 세부 유출경위를 확인할 수 없으나, 사고 당시 해당 저장장치는 외부 IP( )를 통해 접근이 가능한 상태였다.
항목: 성명·연락처·주소 - 2026-04-08 · Cristie, Manson & Woods, Ltd · 제2026-006-051호 · 유출 620명 · 과징금 2억 8,000만 원 원문 ↗
해커는 미상의 방법으로 COO(ChiefOperatingOfficer, 최고운영책임자)의 이메일주소를 확보한 후, COO를 사칭하여 헬프데스크를 통해 ‘비밀번호 초기화’ 및 ‘2차 인증 2) 사고 당시, 피심인은 2차 인증 수단을 2가지 유형(1. SMS(문자), 2. (앱))으로 제공하였고, 사고 이후 앱 인증 방식으로만 사용하도록 변경하여 운영 중이라고 설명함 닫기 전화번호 변경(COO번호→해커번호)’을 요청하였다. 이에, 피심인의헬프데스크 담당자는 임직원 여부를 확인하기 위해 입사일 확인, 직함, 소속 부서, 관리자 이름 등을 확인하는 절차를 거쳐야 함에도 이를 누락한 채 ‘초기 비밀번호를 재설정 3)
항목: 주민등록번호·외국인등록번호·여권번호·성명·주소 - 2026-03-25 · 강북구청 · 제2026-005-025호 · 과징금 3억 7,800만 원 원문 ↗
신원 미상의 자(45.14.71.17., 일본, 이하 ‘해커’)는 ‘24.3.4. 14:54~19:30 피심인이 운영하는 DB 관리자페이지＊를 알 수 없는 방법＊＊으로 접속하여 정보주체의 개인정보를 다운로드 기능(tbl_export.php)을 통해 개인정보를 유출하였다. ＊ DB 관리자페이지 URL : https://cctv.gangbuk.go.kr/phpmyadmin ＊＊ 관리자페이지 및 DB 접속기록 등 부재로 해커가 접속한 관리자페이지 계정정보 확인이 불가함 - 2025-12-10 · K Games, Inc · 제2025-026-308호 · 과징금 1억 9,451만 9,000 원 원문 ↗
해커는 원인 미상의 방법으로 피심인의 헬프데스크 관리직원의 계정정보(ID 및 PW)를 사전에 확보한 후, ’22.9.14.경 안전한 인증수단을 입력 없이 취득한 계정정보만으로 관리자페이지에 접속하였다. 이후, 해커는 ’22.9.20.경 헬프데스크 이용자의 개인정보를 취득한 후 국내 이용자 최소 701명에게 악성코드가 포함된 피싱메일을 발송 2) 해커는 전세계 이용자 기준으로 약 19만 명에게 인증정보 추출목적의 악성 소프트웨어( )의 다운로드 링크가 포함된 피싱메일을 발송하였다고 피심인은 답변하였음. 닫기 하였다. 이에, 피심인은 같은 날 이용자를 대상으로 피싱메일 관련 경고 및 조치사항을 전파하였고, 해커가 접근한 고객지원플랫폼을 임시로 폐쇄 조치하였다. ’22.9.22.경 해커가 헬프데스크 이용자 약 4백만 명의 개인정보 판매글을 다크웹에 게시함에 따라 피심인은 개인정보 유출 사실을 확인하였고, 그 중에서 한국 소재 이용자 최소 12,906명이 포함되었음을 ’22.9.28.경 확인하였다.
항목: 성명·이메일·주소·IP·접속기록 - 2025-12-10 · 국립항공박물관 · 제2025-026-306호 · 과징금 9,800만 원 원문 ↗
신원 미상의 자(이하 ‘해커’)는 미상의 방법으로 사전에 습득한 관리자 계정의 아이디와 비밀번호를 이용하여 경 의 관리자 페이지＊에 접속한 후 회원들에게 악성 앱 주소가 포함된 건의 스미싱 문자를 박물관 교육 안내번호를 발신번호로 하여 발송 시도하였으며, 이 중 건은 전송에 성공하였다. ＊ ※ 해커는 본 건 유출사고 이전에도 사이 총 회 관리자 페이지에 접속한 이력이 있음 또한, 해커는 같은 날 15:30경 관리자 페이지 내 회원 관리 페이지에서 명의 회원정보를 엑셀 파일 형태로 다운로드하였다.
항목: 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 - 2025-11-26 · ㈜바텍엠시스 · 제2025-024-300호 · 과징금 5,520만 원 원문 ↗
해커는 ‘24.1.6. 알 수 없는 방법으로 획득한 신고인의 관리자 계정( )으로 외부IP( 등)를 통해 처리시스템에 접속한 후 회원정보를 조회하고 다운로드하여 개인정보를 유출하였다.
항목: 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 - 2025-11-26 · ㈜하스 · 제2025-024-299호 · 유출 733명 · 과징금 1억 3,300만 원 원문 ↗
해커가 알 수 없는 방법으로 획득한 피심인의 관리자 계정( )으로 관리자 페이지에 접속하여 이용자의 개인정보를 탈취 후 다크웹에 유출(2차례 게시: ’24.2월, ’24.4월)한 것으로 추정된다. 피심인은 ’24. 6월 클라우드 환경으로 시스템을 이관하고 사고가 발생한 이전 시스템의 접속기록＊을 보관하지 않았으나, 유출 당시 운영하였던 관리자 페이지( )는 외부에서 ID, PW 외 안전한 인증수단 없이 접속이 가능하도록 운영되었으며, ’23. 9. 7., ’23. 9. 12., ’24. 4. 4. 비인가 해외 IP＊＊에서 관리자 계정( ) 로그인 성공 이력도 확인되었다. ＊ 시스템을 이관하면서 보관한 DB 백업파일 내에 관리자 계정(관리자 페이지) 접속기록 중 ‘처리한 정보주체’를 제외한 접속기록 일부가 남겨져 있음 ＊＊ 총 3개의 영국, 미국 IP이며, 영국 IP는 유해 IP로 신고된 이력이 확인되었고, 관리자 페이지에는 회원 정보를 엑셀파일로 다운받을 수 있는 기능이 존재하였음 피심인은 이용자의 개인정보가 다크웹에 게시된 사실을 KISA로부터 2차례 안내(’24.2월, ’24.4월)받았음에도 별도 조치하지 않았고, ’24.6월 KISA의 3번째 안내 및
항목: 성명·이메일 - 2025-11-20 · 광주도시관리공사 · 제2025-221-428호 · 유출 388명 원문 ↗
수탁업체 직원은 ’24. 3. 7. “ ” 파일을 이메일로 피심인 소속 채용 담당 직원에게 전달하였고, 채용 담당 직원이 첨부파일을 다운로드받는 과정에서 해당 파일이 트로이목마 바이러스에 감염되었다는 ’MS 엣지 브라우저‘의 알림＊이 발생하였다. 수탁업체 직원은 자신의 PC에 보관 중인 “ ” 파일이 트로이목마 바이러스에 감염된 것으로 의심되어 이를 치료하고자 바이러스토털＊＊에 해당 파일을 게시하였다. ＊ 피심인 측에서 PC 백신 검사를 진행한 결과 악성코드는 탐지되지 않았음
항목: 성명 - 2025-11-20 · ㈜레저플러스 · 제2025-023-295호 · 과징금 6,120만 원 원문 ↗
해커는 ‘24. 9. 24. 골프몬 홈페이지 내 개인정보처리방침 페이지 대상 SQL Injection 공격으로 DB( 테이블) 내 예약정보를 유출(1차)하였고, 이후 ’24. 10. 16. 공지사항 페이지 대상으로 SQL Injection 공격으로 DB( 테이블) 내 회원정보를 유출(2차)함
항목: 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 - 2025-11-20 · ㈜이젠 · 제2025-023-293호 · 과징금 6,060만 원 원문 ↗
해커는 ‘21. 8. 18. ~ ’24. 8. 28. 동안(약 3년) ㈜이젠 홈페이지 내 페이지 대상으로 SQL Injection 공격을 수행하여 회원 총 69,930명의 개인정보를 유출하였고, 그 중 35,454명은 ‘21. 9. 6. 발생한 SQL 공격으로 암호화되지 않은 주민등록번호가 유출된 사실을 추가 확인하였다.
항목: 주민등록번호·성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호 - 2025-09-10 · ㈜몽클레르코리아 · 제2025-020-252호 · 과징금 8,101만 7,000 원 원문 ↗
해커는 ’21. 12. 17. ~ ’21. 12. 21. 사이에 미상의 방법2)으로 피심인이 운영하는 개인정보처리시스템 등의 DB 등에 대한 관리자 권한을 보유한 직원 계정(13개)을 탈취하였다. 계정이 탈취된 해당 직원들은 피심인이 운영하는 개인 정보처리시스템 등의 정보통신기술(IT) 지원·서비스를 담당하고 있었다. 이후, 해커는 ’21. 12. 21. 21:09경 해당 계정을 통해 추가적인 인증절차를 거치지 않고 내부 서버에 접속하였고, 획득한 관리자 권한으로 인증·권한 등 보안정책을 관리하는 도메인 컨트롤러 서버에 접속하여 악성 소프트웨어를 배포하였다. ’21. 12. 22. 02:00 ~ 10:00경 해커는 개인정보가 포함된 내부 데이터를 유출하였고,
항목: 성명·연락처·이메일·주소·생년월일·나이·거래·구매 내역 - 2025-07-09 · ㈜비와이엔블랙야크 · 제2025-015-229호 · 과징금 13억 9,100만 원 원문 ↗
해커가 ’25. 3. 1. ~ 3. 4. 동안 피심인이 운영 중인 웹사이트 내 고객 상담 페이지 ( )에 SQL Injection 공격으로 DB에 저장된 관리자 계정 정보＊를 탈취하였고, ＊ SQL injection 공격으로 관리자 계정명과 암호화(SHA-256)된 비밀번호(64자리 해시값)를 탈취한 사실은 확인되나, 해커가 평문 비밀번호를 확보한 방법은 확인되지 않음 탈취한 최고 관리자 계정( ) 정보를 악용하여 피심인의 관리자 페이지에 로그인 후, ‘엑셀 다운로드’ 기능으로 이용자의 개인정보를 다운로드 받아 유출하고
항목: 성명·연락처·주소·생년월일·나이 - 2025-04-09 · ㈜클래스유 · 제2025-008-024호 · 과징금 5,360만 원 원문 ↗
해커가 ’23. 8. 1. ~ ’24. 7. 25. 동안 알 수 없는 방법으로 획득한 개인정보처리시스템(DB) 관리자 계정으로 피심인의 개인정보처리시스템(DB)에 접속하여 DB를 9,831회 조회하고 이용자 정보를 다크웹에 게시하였다.(’24. 7. 8.) 다만, 피심인이 ’22. 3. 18. 시스템을 이전하면서 당시 시스템 담당자(2인)가 개인정보처리시스템(DB) 접속정보가 포함된 파일＊을 깃허브(github) 개인 저장소에 공개 설정으로 저장해두고 운영한 사실이 확인되어, 해커가 해당 경로로 개인정보처리시스템(DB) 접속 정보를 확인 후 접근통제 조치가 되어있지 않은 피심인의 개인정보처리시스템(DB)에 접속하여 개인정보를 유출한 것으로 추정된다. ＊ 환경에서 애플리케이션이 필요로 하는 환경 변수를 저장하는 용도로 사용되며, DB 관리자 계정명과 비밀번호, DB 주소 등 DB 접속에 필요한 정보들이 포함됨 로그분석 결과, 해커는 피심인의 서비스를 이용하는 회원 및 강사의 정보를 관리하는 DB 테이블과 강사 관리용 DB 테이블의 데이터를 조회한 것으로 확인된다. 또한, 강사 관리용 DB 테이블에는 주민등록번호와 계좌번호가 평문으로 저장되어 있었고, 일부 컬럼
항목: 주민등록번호·외국인등록번호·여권번호·성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호·계좌·카드번호 - 2025-01-08 · 법원행정처 · 제2025-001-001호 · 과징금 2억 700만 원 원문 ↗
신원 불상자(경찰, )가 ’21.1.7. 이전 법원의 내‧외부망이 연결된 포트를 이용해 내부망에 악성파일을 설치하고, ’21.6.~’23.1. 서버(스토리지)에 저장된 데이터를 탈취한 것으로 추정되며 - 해킹에 이용된 외부 경유지 서버 8대(국내 4대, 국외 4대)로 약 1,014GB 분량의 데이터가 유출되었으며, 이 중 경찰 수사를 통해 국내 서버 1대에서 4.7GB의 파일(총 유출 데이터의 약 0.46% 분량)을 복원하였다.
항목: 주민등록번호·성명·연락처·주소·생년월일·나이·건강·진료 정보 - 2024-05-08 · (주)골프존 · 제2024-008-182호 · 유출 2,216,414건 · 과징금 75억 400만 원 원문 ↗
신원 미상의 자(이하 ‘해커’)는 미상의 방법으로 피심인 직원들의 가상사설망(이하, ‘VPN’) 계정 및 비밀번호를 획득하였으며, 이 계정 중에는 파일서버 및 AD 서버의 관리자 권한이 부여된 계정(이하 ‘관리자 계정’)도 포함되어 있었다. 해커는 탈취한 관리자 계정으로 VPN에 로그인 후, 2023년 11월 22일 다른 네트워크(대전과 청담 사업장)에 존재하는 AD 서버에 각각 원격으로 접속하였고, AD 서버에서 대전과 청담 사업장의 파일서버에 각각 원격으로 접속하여 2024년 11월 22일부터 23일까지 각 파일서버의 자료들을 외부로 전송한 후 다크웹에 공개 5) 현재까지 확인된 유출 파일 용량 : 539GByte(압축파일, 압축 해제 시 1,180Gbyte)다크웹에 공개된 파일은 파일서버에 저장되어 있었던 파일들의 일부인 것으로 확인되며 파일서버의 모든 파일이 유출된 건지 또는 해당 정보만 유출된 것인지는 확인되지 않음 닫기 하였다. 유출된 파일은 피심인의 파일서버에 업로드되어 있던 파일로 통합회원, 문화상품권, VOC, 인사 등 각 전용 DB로부터 추출된 개인정보와 담당자가 수집하여 업무 PC에 저장했던 개인정보가 파일화(xls, doc, pdf, c
항목: 주민등록번호·성명·연락처·이메일·생년월일·나이·아이디·비밀번호·계좌·카드번호 - 2023-10-25 · 주식회사 와이엘랜드 · 제2023-017-232호 · 유출 229,560명 · 과징금 1억 5,098만 7,000 원 원문 ↗
신원 미상의 자(이하 ‘해커’라 한다)는 알 수 없는 방법으로 기존에 획득한 웹 관리자 계정을 이용해 `23. 2. 26. ~ `23. 2. 28.에 ‘여유텔레콤’ 홈페이지 관리자페이지에 접속하였으며, 관리자 계정으로 로그인한 후 ‘LGU+ 개통리스트’ 총 13,926개 페이지 등을 검색하여, 이용자(229,600명) 개인정보(이름, 주소, 요금제, 개통번호 등)를 탈취하였다.
항목: 연락처·주소 - 2023-10-11 · (비실명) · 제2023-016-205호 · 유출 3,708건 원문 ↗
학생이 ’22.6.25. 피심인의 산학협력단 홈페이지의 게시판 섬네일 이미지 업로드 페이지에서 파일 업로드시 관리자 권한 확인 및 파일 확장자 등에 대한 검증 구문이 누락된 것을 이용하여 웹셸을 업로드하였고, 이후 6.26.∼7.19. 웹셸에 접근하여 기숙사 학생 및 교직원 정보가 담긴 테이블과 학생 진로 추천 관련 테이블에 무단으로 접속, 데이터를 다운로드함으로써 개인정보가 유출되었다.
항목: 성명·연락처·아이디·비밀번호·학적·성적 - 2023-10-11 · 경북대학교 총동창회 · 제2023-016-204호 · 유출 11,481건 원문 ↗
학생들이 ’22.6.12.(추정) 피심인의 대표 홈페이지에 웹셸 업로드 방식을 통해 무단으로 접속하여 데이터를 다운로드함으로써 개인정보가 유출되었다.
항목: 연락처·이메일·주소·아이디·비밀번호 - 2023-05-10 · (비실명) · 제2023-008-077호 · 유출 30,607명 원문 ↗
미상의 해커가 피싱 메일 11종＊을 피심인의 교직원‧학생 등 125개 이메일 계정에 발송(’20.11.4~11.24)하여 이 중 63개 계정에서 비정상＊＊ 로그인 형태를 보였으며, 해커는 탈취한 이메일 계정에 접속하여 VPN 계정＊＊＊, 서버접속 정보 등을 획득한 것으로 추정된다. ＊ (8종) 클릭 시 접속장애 메시지 현출, 이후 다시 이메일 로그인 화면(피싱 페이지)이 뜨면서 ID·PW 입력 유도 (3종) 정보유출을 위한 악성코드가 담긴 첨부파일(v3, 보안플러그인) 설치 유도 ＊＊ ①한 개의 IP에서 30분 내 여러 메일 계정으로 로그인, ②여러 IP에서 동시에 한 메일 계정으로 로그인, ③확보한 악성 IP 그룹에서 로그인 성공(블랙리스트, 특정국가IP, 특정 C&C IP), ④다수국가에서 30분 내 메일 계정으로 로그인 ＊＊＊ 학술정보개발팀 유지보수 계정(kaist_diane813) 탈취한 VPN 계정을 이용하여 전자연구노트시스템이 속한 서버팜 내로 접속한 후 SVN 서버＊를 경유하여 회의시스템 웹서버에 접속하여 DB클라이언트로 ‘연구노트 이용자 정보’ 30,607건 탈취하여 개인정보가 유출되었다. ＊ ‘16년 11월, 외부작업을 위해 KVPN_grou
항목: 성명·이메일·아이디·비밀번호·학적·성적·소속·직위 - 2023-03-22 · (비실명) · 제2023-005-042호 · 유출 4,876,106명 · 과징금 액수 비공개 원문 ↗
(유출 경위) 해커가 시스템＊(AWS싱가폴)에 저장되어 있던 ‘20. 6. 23.에 생성된 한국인 주문정보 백업파일(약 17GB, 파일명 : )을 유출함 ＊ 개인정보처리방침에 따라 서비스에 대한 개인정보 수집 주체는 피심인이며, ’시스템 유지 보수 등 운영‘ 업무는 피심인 본사( )가 위탁받아 운영하고 있음 ※ 유출 경위는 시스템 운영사이자 수탁자인 피심인의 본사가 사실관계를 파악하고 그 내용을 피심인 으로부터 제출받아 작성됨 - ’21. 3. 26. : 피싱 메일을 통해 이탈리아 매장 PC에 해킹 프로그램(코발트 ＊
항목: 연락처·이메일·주소 - 2023-03-08 · (비실명) · 제2023-004-034호 · 과징금 액수 비공개 원문 ↗
(유출경위) 해커가 온라인 쇼핑몰 문의 게시판에 악성코드 파일(test.php, mysql.php)을 업로드·실행하는 웹셸공격을 통해 개인정보처리시스템에 접속하여, 회원정보와 주문정보를 조회·다운로드하고, 결제정보를 외부 전송하여 이용자 개인정보가 유출됨
항목: 성명·연락처·주소·생년월일·나이·아이디·비밀번호·계좌·카드번호 - 2022-05-11 · (비실명) · 제2022-008-052호 · 유출 100건 원문 ↗
(유출경위) 피심인이 접근 아이피(IP)를 제한하지 않아 해커가 알 수 없는 방법으로 획득한 데이터베이스 계정으로 데이터베이스 서버에 무단 접근하여 개인정보를 유출한 것으로 추정 ※ 조사 결과, 현장 조사(‘21.10.5.) 시 가 보유한 회원정보는 만건으로 해커가 보유한 것으로 주장하는 개인정보 수치( 만 건)와 유사하였음. 또한, ’21.9.22.에 대량의 정보 전송(약 102Mb/초)이 발생하였고 ‘21.4.26에 미국 아이피(IP)에서 비정상 접속 시도가 있었으나, 세부 로그가 없어 전송된 정보 내 개인정보 포함 여부, 로그인 성공 여부 등은 확인이 불가함
항목: 성명·이메일·생년월일·나이·아이디·비밀번호·IP·접속기록 - 2022-05-11 · (비실명) · 제2022-008-051호 원문 ↗
(유출경위) 해커는 알 수 없는 방법으로 고객센터가 고객과 상담한 이메일을 취득하여, 수신자로 등록되어있는 이용자 명의 이메일주소로 악성코드가 담긴 피싱메일을 발송＊함 ＊ 해커는 를 발신자 주소로 하여 피싱메일을 발송 1) 유출 경과 및 대응
항목: 이메일·주소 - 2022-05-11 · (비실명) · 제2022-008-048호 · 과징금 액수 비공개 원문 ↗
(유출경위) 해커가 ‘18. 12. 13. 웹서버에 웹셸(_gabia.jpg.php)을 업로드하여 ’20. 5. 31. ~ ’20. 6. 4. 동안 회원 명＊의 개인정보를 데이터베이스에서 조회함 ＊ 피심인의 데이터베이스 로그 보존기간이 일주일로 설정되어 있어, ’20.2.27. 이후에 가입한 회원 중 회원번호가 인 명에 대해 유출 확인됨
항목: 성명·연락처·이메일·아이디·비밀번호·IP·접속기록
담당자 실수(오발송·오게시)
결정문 원문 보기 28건
- 2026-07-08 · 서광주세무서 · 제2026-213-264호 · 유출 1명 원문 ↗
피심인 소속 담당공무원이 현금영수증 미발급 신고 업무처리 과정에서 미발급 사업자가 아닌 신고자에게 해당 사업자의 개인정보가 담긴 ‘현금영수증 미발급 확인서’ 및 ‘명령서 수령증’이 첨부된 이메일을 오발송하였다.(’24.1.4.16:00경)
항목: 주민등록번호·성명·연락처 - 2026-04-08 · (비실명) · 제2026-207-110호 원문 ↗
피심인 소속 직원은 홈페이지 채용공고 게시글을 게재하면서 ‘성범죄 경력 동의서 양식’을 첨부하여야 하나, 개인정보가 포함된 ‘범죄경력 조회 요청서’를 잘못 첨부하여 개인정보가 유출되었다. - 2025-11-20 · 한국토지주택공사 · 제2025-221-430호 원문 ↗
1) 개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행) - 2 - ’25. 4. 23. 18:00경 피심인 소속 직원은 LH청약플러스 홈페이지에 을 게시하는 과정에서 당초 게시하려던 ‘ ’ 대신 내부 검토자료인 ‘ ’을 오첨부하여 공공임대주택 신청자들의 개인정보가 유출되었다. - 2025-06-25 · 서울중앙지방법원 · 제2025-212-278호 원문 ↗
’23. 12. 19. 13:22경 피심인 소속 형사항소과 직원이 통·번역인 34명에게 “교육 홈페이지 접속 안내 및 수강 매뉴얼”을 이메일로 보내는 과정에서 실수로 ｢‘23년 통·번역인 후보자 명단｣ 파일을 오첨부하여, 통·번역인 후보자 400명의 개인정보가 유출되었다.
항목: 주민등록번호·성명·연락처·이메일·주소 - 2024-11-27 · (비실명) · 제2024-223-711호 · 유출 50명 원문 ↗
피심인은 2024학년도 를 홈페이지에 게시하는 과정에서, 담당자의 실수로 에 게시 대상이 아닌 자료(개인정보가 포함된 자료)를 포함하여 게시하였다.
항목: 성명 - 2024-11-27 · (비실명) · 제2024-223-710호 · 유출 698명 원문 ↗
피심인은 결과를 앱에 게시하는 과정에서, 담당자의 실수로 성명 등 개인정보가 포함된 내부용 자료를 게시하였다.
항목: 성명·생년월일·나이·소속·직위 - 2024-06-12 · (비실명) · 제2024-212-432호 원문 ↗
피심인은 결과보고서에 첨부된 자료에 주민등록번호, 번호 등 개인정보가 포함된 사실을 인지하고 첨부자료를 삭제하는 등 결과보고서를 수정하였으나, 홈페이지 등록 과정에서 담당자의 실수로 수정 전 원본 파일을 홈페이지에 게시하여 개인정보가 유출되었다.
항목: 주민등록번호·성명·소속·직위 - 2023-11-08 · (비실명) · 제2023-018-234호 · 유출 1,203명 · 과징금 1,625만 원 원문 ↗
피심인은 「한국장학재단 설립 등에 관한 법률」 제50조의2제10호에 따라 ㅇㅇㅇㅇㅇㅇ 측에서 학자금 대출 상환 및 장학금 환수 등 수혜자 관리 목적으로 학자금 대출 지원자에 대한 학사정보 제출을 요청할 경우 이에 따라야 하며, 이 경우 통상적으로 ㅇㅇㅇㅇ측 전용 시스템에 접속하여 학자금 대출 지원자 관련 주민등록번호를 다운로드한 후 해당 자료에 학사정보를 매칭·현행화하여 다시 시스템에 업로드하는 방식으로 자료를 제출하고 있다. 피심인은 2023. 4. 14. ㅇㅇㅇㅇㅇㅇ 측으로부터 학자금 대출 지원자 학사정보 제출 요청을 받았으며, 이에 따라 ㅇㅇㅇㅇ측 시스템에 접속하여 학자금 지원자 1,203명의 주민등록번호를 다운로드 받아 해당 자료에 학사정보를 매칭·현행화하여 제출용 자료를 가공하였다. 해당 자료를 ㅇㅇㅇㅇㅇㅇ 측에 제출하기 전 학자금 대출 지원자들에게 관련 절차가 진행된다는 사실을 알리기 위해 피심인 홈페이지에 안내 글을 게시하는 과정에서, 담당자 부주의로 ㅇㅇㅇㅇㅇㅇ 측에 제출하기 위해 가공 중이던 엑셀 파일을 잘못 첨부·게시하여, 학자금 대출 지원자들의 성명·주민등록번호가 유출되었다.
항목: 주민등록번호·성명·학적·성적 - 2023-07-26 · (비실명) · 제2023-013-178호 · 유출 2,574명 · 과징금 1,250만 원 원문 ↗
급여담당자가 기간제 직원에게 급여 관련 안내 메일을 보내면서, 당초 근무 일수 입력시 급여를 확인할 수 있는 자동 계산식이 포함된 엑셀 파일(파일명 ‘급여산식’ / 개인정보 미포함)을 보내려 하였으나, 착오로 급여 및 4대보험 산정·납부 작업을 위해 작성한 엑셀파일(파일명 ‘급여계산’ / 개인정보 포함)을 기간제 직원 일부(787명)에게 외부 메일로 발송하여 개인정보가 유출된 사실을 확인하였다.
항목: 주민등록번호·성명·이메일·주소·계좌·카드번호 - 2023-07-26 · (비실명) · 제2023-013-175호 · 유출 100명 · 과징금 1,625만 원 원문 ↗
피심인은 소속 직원의 실수로 문서의 공개 여부를 ‘대국민 공개’로 설정한 채 상신하였고, 그대로 결재가 완료(국장 전결)된 후, 정보공개포털에 원문이 공개되었으며, 허가 문서의 첨부파일에는 임원예정자 및 회원 명단이 포함되어 있었다. ※ 국장급 이상 전결 문서 중 대국민 공개 문서는 정보공개포털에 원문이 공개됨
항목: 주민등록번호·성명·연락처·주소 - 2023-07-26 · (비실명) · 제2023-013-174호 · 유출 6,568명 · 과징금 1,625만 원 원문 ↗
관내 12개 및 69개 에 코로나19 3차 예방접종 수요를 조사하는 과정에서 주민등록번호 등이 포함된 수요조사 서식을 메일로 발송하였는데, 담당자의 부주의로 12개 및 35개 에 파일을 암호화하지 않고 발송하여 개인정보가 유출된 사실을 확인하였다.
항목: 주민등록번호·성명·소속·직위 - 2023-07-26 · (비실명) · 제2023-013-171호 · 유출 11,731명 · 과징금 1,625만 원 원문 ↗
피심인 소속 담당자는 가입자 수를 늘려 를 인하시키기 위해, 중 여부 재조사 과정에서 업무 부주의로 붙임서류(엑셀파일)에 전체직원의 성명, 주민등록번호가 포함된 공문을 전부서·전기관＊ 및 유관기관에 발송하였다. ＊ 수신자 : 등 163개 부서·기관
항목: 주민등록번호·성명·소속·직위 - 2023-07-26 · (비실명) · 제2023-013-170호 · 유출 1,150건 · 과징금 2,000만 원 원문 ↗
합격자 명단을 홈페이지에 게시하면서, 담당자의 부주의로 엑셀파일에 숨김 처리된 시트를 확인하지 않아 해당 시트의 주민등록번호 등 개인정보가 유출(약 7분간 96회 다운로드)된 사실을 확인하였다.
항목: 주민등록번호·성명·연락처·주소 - 2023-06-27 · (비실명) · 제2023-213-250호 · 유출 1,924명 원문 ↗
조합원 실태조사 및 명부 현행화를 위해 지도과 직원 A가 13개 지사무소 실태조사 담당자들에게 전체 조합원 개인정보가 포함된 엑셀파일을 사내 전산망으로 일괄 발송하여, 유가공공장 조합원 실태조사 담당자 B가 해당 파일을 수령하였고, 이후 조합 비상임이사 D가 지사무소 직원 C에게 안부 인사 목적으로 조합원 명부를 요청, C가 B로부터 사내 전산망으로 해당 파일을 받은 후 이를 출력하여 D에게 교부한 사실을 확인하였다. ※ 비상임이사 및 조합원은 성명․주소만 접근가능
항목: 성명·연락처·주소·생년월일·나이·소속·직위 - 2023-05-10 · (비실명) · 제2023-008-084호 · 유출 1,488명 원문 ↗
업무 담당자가 새소식 게시판에 ‘ 건강가정 다문화가족지원센터 운영프로그램 안내’ 자료를 게시하면서, 실수로 ‘ 명단(엑셀)’을 게재(’21.7.22.)하였고, 이후 담당자 본인이 노출 사실을 발견하고 스스로 삭제(’21.8.12.)한 사실을 확인하였다. - 2023-05-10 · (비실명) · 제2023-008-083호 · 유출 2명 원문 ↗
’22. 8월경 피심인이 별건 민원인들의 제보를 통해 피민원인에게 위반 혐의 농지 처분 명령하자, 피민원인이 피심인( 실)을 방문하여 이의제기 등 민원상담을 하였고, 피민원인에게 행정소송 등 구제절차가 있음을 알려주자, 피민원인이 소송에 활용 가능한 서류를 요청하였는데, 이에 이 보유하고 있던 문서(20p 분량) 중 개인정보가 포함된 부분을 접는 방식으로 표시하여, 비서에게 이를 제외하고 복사하도록 지시하였으나 소통 착오로 비서가 전량을 복사, 이를 그대로 피민원인에게 교부함으로써 개인정보가 유출된 사실을 확인하였다.
항목: 주민등록번호·성명·연락처·주소 - 2023-05-10 · (비실명) · 제2023-008-081호 · 유출 4,187건 원문 ↗
대학교의 교수학습지원센터 담당자가 톡(내부 메신져)을 통해 ‘비교과 프로그램 안내 및 홍보’ 자료를 게재하면서, 실수로 개인정보가 포함된 ‘재학생 연락처’ 파일을 게재한 사실을 확인하였다.
항목: 성명·연락처·학적·성적 - 2023-05-10 · (비실명) · 제2023-008-079호 · 유출 3,506명 원문 ↗
피심인은 ‘2022학년도 시험 감독관 및 종사요원 임명 알림’ 공문을 에 발송하면서, 구분없이 개인정보가 포함된 전체 명단을 첨부하여 일괄 발송하여 각 담당자가 다른 직원들의 개인정보를 열람하도록 한 사실이 있다.
항목: 성명·연락처 - 2023-04-12 · (비실명) · 제2023-006-051호 · 유출 1,664명 원문 ↗
피심인은 ‘○○○○○ 서비스’ 이용 후기 공유요청 메일을 발송하는 과정에서 서비스 이용자의 이메일 주소를 개별 발송하지 않아 타인의 이메일 주소가 다른 이용자에게 유출되었다. 2) 유출 경과 및 대응 - ('22. 5. 27.) 온라인 민원이 제기되어 유출사실 인지 - ('22. 5. 27.) 민원인과 유선 통화로 유출사고 사과, 사후 처리절차 안내 - ('22. 5. 27.) 정보주체에게 유출 사실 통지, 유출사실 공고문 게시 - ('22. 5. 27.) 개인정보보호 포털에 개인정보 유출 신고
항목: 이메일·주소 - 2023-01-11 · (비실명) · 제2023-001-002호 · 유출 51명 원문 ↗
(유출 경위) 피심인은 고객센터 접수 내역에 대한 분석·대응을 위해 정기적(2~3일)으로 시스템에서 다운로드한 고객센터 문의·답변 파일(엑셀)과 운영 중인 코칭(PT) 서비스 관련 이용자의 요청에 따라 시스템에서 다운로드한 이용자의 1:1 코칭내역 파일(엑셀)을 별도 분리하지 않고 같은 폴더에 저장하여, 상담직원이 1:1 코칭내역을 요청한 이용자에게 고객센터 문의·답변 파일을 이메일로 잘못 첨부·발송하여 이용자의 개인정보가 유출되었다.
항목: 성명·이메일·아이디·비밀번호·계좌·카드번호·거래·구매 내역 - 2022-11-30 · (비실명) · 제2022-019-163호 원문 ↗
(유출경위 ) 피심인이 을 하면서 개발 실수로 이용자가 에 로그인하면 타 이용자의 이름· 주소가 조회됨
항목: 성명·주소·IP·접속기록 - 2022-11-30 · (비실명) · 제2022-019-162호 · 유출 82명 원문 ↗
(유출 경위) ’22. 3. 31.부터 ’22. 4. 1.까지 피심인의 물류대행업체(수탁자) 직원 이 실수로 택배 송장 데이터 파일(엑셀)을 편집하는 과정에서 고객의 이름· 주소에 해당 고객의 휴대전화번호가 아닌 다른 고객의 휴대전화번호를 결합한 후, 택배사 배송 시스템에 업로드하여 본인이 아닌 다른 이용자의 이름·주소가 카카오톡 메시지로 전송되었다.
항목: 성명·연락처·주소 - 2022-11-30 · (비실명) · 제2022-019-159호 원문 ↗
(유출 경위) 피심인은 페이지를 개발하는 과정에서 담당자의 실수로 테스트 계정으로 로그인한 상태의 인터넷 주소(URL)를 추출하여 고객들에게 안내문자를 발송(약 건)하였고, 해당 인터넷 주소로 접속한 고객 중 이벤트 제품을 구매한 고객의 개인정보가 해당 URL 을 통해 접속한 다른 고객 들에게 노출됨. - 3 -
항목: 성명·연락처·주소·아이디·비밀번호·거래·구매 내역·IP·접속기록 - 2022-09-28 · (비실명) · 제2022-016-135호 원문 ↗
피심인은 홈페이지 기능 업데이트 과정에서 담당자 실수로 개발 완료되지 않은 소스코드를 적용하였고, ‘ 예약정보 조회 페이지 ’에서 타인의 예약정보가 조회되었다. 그 결과, 외부 IP 가 접속하여 타인의 개인정보 를 조회하였다. 2. 개인정보보호 법규 위반 행위 사실 가. 안전성 확보 조치를 소홀히 한 행위 피심인은 인터넷 홈페이지 ‘ 예약정보 조회 페이지’에 로그인 등 접근통제 없이 접근 가능하게 하였고, 해당 페이지에서 조회 버튼 클릭 시 타인의 예약정보가 조회되게 하였다. - 2022-09-28 · (비실명) · 제2022-016-133호 원문 ↗
및 규모 피심인은 온라인교육 참여자＊를 대상으로 한 경품이벤트 당첨자를 홈페이지( .co.kr)에 게시하는 과정에서 담당자의 실수로 당첨자( )가 아닌 전체 교육참여자( )의 개인정보 파일(엑셀)을 첨부하였다.＊＊ ＊ ＊＊ 비식별처리된 당첨자 명단만 게시하여야 하나, 전체 참여자의 식별정보를 게시 나. 경과 및 대응 2. 개인정보보호 법규 위반 행위 사실 피심인은 홈페이지에 경품이벤트 당첨자를 공지하는 과정에서 담당자 실수로 전체 참여자( )의 개인정보 파일을 잘못 게시하여 열람권한이 없는 자에게 공개＊되었다. ＊ - 2022-05-25 · (비실명) · 제2022-009-061호 원문 ↗
및 규모 피심인은 ‘ 시스템’ 홈페이지의 관리·운영을 위해 개인정보를 수집·보관하고 있었으며, 내부 업무담당자의 부주의로 시스템 사용자( )의 개인정보 파일이 홈페이지 게시판에 업로드되어 ‘21.7.9(금) ~7.14(수) 13:40 개인정보가 유출되었다. 확인 결과 건의 개인정보가 유출되었으며, 유출 항목은 업체명, 대표자명, 사업자등록번호, 주소, 업종, 업종상세, ID, 사용자 성명, 전자우편, 사용자 연락처, 사무실 연락처, 계정 승인 일자이었다. - 2022-04-27 · (비실명) · 제2022-007-042호 · 유출 2건 원문 ↗
(유출경위) 시스템 업데이트＊ 시 직원의 인지할 수 없는 실수로 업데이트 직전 월렛 모바일 탑승권을 최종 조회한 이용자 2명의 탑승권 정보가 다른 이용자 106명에게 조회됨 ＊ 월렛 관련 2대의 WAS서버를 업데이트 하면서, 월렛용 모바일탑승권 파일(pass.json)이 쓰기 권한 없이 업로드 됨
항목: 성명 - 2022-03-23 · (비실명) · 제2022-005-026호 원문 ↗
및 규모 피심인의 홈페이지 관리 업체(수탁사)가 oooo 홈페이지 게시판 테스트 작업(’21.1.25) 과정에서 선거인명단 엑셀파일(이하 ‘유출파일’)을 실수로 첨부하였다. 이로 인해 회원들의 면허번호, 성명, 소속의사회명, 주소, 우편번호, 근무처명, 직장전화번호‧팩스번호, 생년월일, 휴대전화번호가 포함된 개인정보가 유출되었다. 나. 유출 경과 및 대응 - ’21.8.26. 선거인명단이 구글에서 검색되고 있다는 제보를 받고, 유출 사실확인 후 홈페이지 유지보수 업체에 게시글 삭제 요청 - ’21.8.30. 개인정보보호 포털에 유출 신고 및 개인정보가 유출된 회원에게 통지(문자, 이메일), 홈페이지 사과 안내문 게시 3. 개인정보보호 법규 위반 행위 사실 가. 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위
잘못된 게시·노출
결정문 원문 보기 25건
- 2026-07-22 · 가평군청 · 제2026-214-294호 · 유출 5건 원문 ↗
피심인 소속 담당자가 ’24.11월부터 ’25.1월 중 공시송달 공고문(자동차세 4건, 양도소득세 1건)을 작성하면서 개인정보를 마스킹 하지 않고 작성한 뒤, 이를 군청 홈페이지＊에 게시하였다. ＊ 가평군 홈페이지 고시공고(https://gp.go.kr/portal/selectgosidata.do)
항목: 주민등록번호·외국인등록번호·여권번호·성명·주소 - 2026-07-08 · 하남도시공사 · 제2026-213-265호 · 유출 6,658명 원문 ↗
피심인은 강습프로그램 반 변경 공지를 위해 게시물을 홈페이지에 업로드하는 과정에서 담당자가 하남국민체육센터 12월 등록 회원 전원의 정보를 오게시하였다.
항목: 성명·연락처·생년월일·나이 - 2026-07-08 · 법원행정처 · 제2026-213-262호 · 유출 1명 원문 ↗
피심인은 위원들만 접속하여 안건 파일을 확인‧심의‧의결할 수 있도록 위원회 홈페이지 내 게시판을 운영하였다. 위원들은 인터넷망에서 별도 아이디와 비밀번호를 부여받아 추가 인증 절차 없이 로그인 후 위원공간 게시판에 접속이 가능했다. 위원공간 게시판의 첨부파일은 WEB‧WAS 서버와는 별개의 ‘첨부파일 서버’(file.scourt.go.kr)에 저장되어 있었으며, 위원공간 게시판의 다운로드 링크를 클릭하면 첨부파일 서버의 파일이 직접 다운로드되는 방식으로 운영되었다. 회생‧파산 관리인‧감사 후보자의 이력서 등 파일은 위원들이 안건 심의‧의결 후 담당 직원이 내부 결재를 받은 뒤 삭제를 해왔다. 이 와중에, ’24.1.12.~’24.1.17. 회생‧파산위원회 담당 직원이 특정 게시물의 조회수가 평소 대비 4∼5배 이상 높아졌음을 인지하고 자체 점검한 결과, 위원공간 게시판에 업로드된 파일 중 2건＊이 삭제 이후에도 알 수 없는 이유로 첨부파일 서버에 남아있었고, 이 중 감사 후보자 의 이력서 PDF 파일 다운로드 링크＊＊가 Microsft Bing 검색 엔진에 노출됨을 확인하였다. ＊ ＊
항목: 성명·연락처·이메일·주소·생년월일·나이·사진·영상 - 2026-05-27 · 행정안전부 · 제2026-010-067호 원문 ↗
직원이 기관별 담당자 정보를 엑셀로 정리하여 홈페이지 내 ‘업무 게시판＊’에 게시(’25.8.8.)하였는데, ‘업무 게시판’의 내부용 URL이 구글 검색에 노출(’25.8.8.~9.25.)되었다. ＊ 피심인, (수탁기관), (재수탁업체)에만 접근권한 有
항목: 성명·연락처·이메일·주소·아이디·비밀번호·IP·접속기록 - 2026-04-08 · 한국환경산업기술원 · 제2026-207-112호 원문 ↗
피심인 소속 직원은 홈페이지에 연구개발과제 보고서를 게시하는 과정에서 개인정보가 포함된 보고서 부록을 함께 첨부함에 따라 개인정보가 유출되었다. - 2026-03-25 · 성남시의료원 · 제2026-206-089호 원문 ↗
및 내용 피심인이 ’24.9.12. 개인정보가 포함된 감사보고서를 비식별처리 하지 않은 채 홈페이지에 게시함에 따라 정보주체 1인의 이름 및 직종 등 개인정보가 노출되었다. 피심인은 이러한 사실을 ’24.10.15. 인지하고 감사보고서에 포함된 개인정보를 비식별 처리하여 수정 게시하였다. - 2025-11-20 · 신남초등학교 · 제2025-221-429호 원문 ↗
피심인 소속 교무행정사는 ‘25. 2. 28. 16:50경 ’25학년도 각 학년 학급편성 계획을 출력하여 신남초 본관 1층 신발장 위에 게시하였다. 같은 날 17:15경 4학년 학생 한 명과 그 동생 한 명이 들어와 4학년 학급편성 계획을 촬영하여 부모님에게 보여주었다. ’25. 3. 1. 10:00경 자녀가 촬영한 사진을 본 학부모는 이를 학부모회장을 포함한 4명과 공유하였고, 같은 날 10:03경 학부모회장은 학부모회 담당교사에게 개인정보 유출 관련 문제를 제기하였다. 1) 개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행) - 2025-09-24 · 김해중부경찰서 · 제2025-218-372호 원문 ↗
피심인은 ’23. 12. 22. 13:48경 법원의 잠정조치 결정서를 소관 사건의 피 의자에게 문자로 전송하는 과정에서 사전에 피의자의 연락처를 확인하기 위 해 찍어둔 사건수사시스템 화면 사진을 함께 첨부하였고, 이로 인해 피해자와 사건 참고인들의 개인정보가 피의자에게 노출되었다.
항목: 주민등록번호·성명·사진·영상 - 2025-05-14 · (재)전라남도정보문화산업진흥원 · 제2025-209-219호 · 유출 5명 원문 ↗
민원인은 ’19.6월 피심인에게 ‘ ’ 교육을 신청하면서 개인정보가 기재된 교육 참가신청서와 주민등록등본을 제출하였다. 이후 민원인이 ’23.3.14. 구글 검색창에 민원인 본인의 성명과 함께 ‘전남’, ‘청년’ 등의 단어를 조합하여 검색하자, 피심인에게 제출한 교육 참가신청서, 주민등록등본이 포함된 URL 링크 주소 2건＊이 노출되었다. ＊① ②
항목: 주민등록번호·성명·주소 - 2024-08-28 · (비실명) · 제2024-217-570호 원문 ↗
피심인이 ’22. 6. 11. ~ 6. 12. 웹서버 증설 및 업그레이드 하는 과정에서 서버 설정파일의 디렉터리 공개 옵션(Options)이 활성화되어 디렉터리 리스팅이 발생＊하였다. 이로 인해 이 엑셀로 보관하고 있던 홈페이지 회원들의 미술실기대회 공모전 접수자 명단과 이벤트 당첨자 명단이 인터넷 검색 엔진에 노출되었다. ＊ 웹서버에 있는 특정경로의 파일들을 웹서비스를 통해 디텍토리 형식으로 볼 수 있는 것
항목: 성명·연락처·이메일·생년월일·나이·아이디·비밀번호·계좌·카드번호 - 2023-11-08 · (비실명) · 제2023-018-235호 · 유출 4,562명 · 과징금 1,250만 원 원문 ↗
피심인은 ㅇㅇㅇㅇ ㅇㅇㅇ 합격자 발표를 위해 홈페이지에 ‘합격자 발표자료 엑셀파일을 게시하였으며, 합격자 발표를 위한 엑셀파일은 합격여부 조회 대상이 되는 전체 응시생의 성명, 주민등록번호, 합격여부가 포함된 시트와 합격여부를 조회하는 시트로 작성하였다. 피심인은 조회 대상이 되는 시트는 숨기기를 한 후 ‘문서보호’ 암호를 설정하여 홈페이지 팝업창에 ‘합격자 발표자료’를 게시하고, ㅇㅇㅇㅇ 응시생은 합격 여부 확인을 위해 홈페이지에서 ‘합격자 발표자료’를 다운로드하여 조회하는 시트에서 주민등록번호, 학교명, 성명을 입력하여 합격 여부를 확인할 수 있도록 하였으나, 신원 미상의 자가 ‘합격자 발표자료’의 ‘문서보호’ 암호를 해제한 후 인터넷 커뮤니티에 게시하여 ㅇㅇㅇㅇ ㅇㅇㅇ의 주민등록번호, 성명, 연락처 등 개인정보가 유출되었다.
항목: 주민등록번호·성명·연락처 - 2023-07-26 · (비실명) · 제2023-013-181호 · 유출 1,451명 원문 ↗
피심인의 직원이 사고 발생 당일(’23.01.06.) ‘ 카드＊(엑셀시트)’를 활용하여 ‘6급 이하 조서(엑셀시트)’를 생성한 뒤, ‘ 카드(엑셀시트)’를 삭제하지 않은 채로 ‘ 이하 조서(엑셀파일)’를 내부망 게시판에 업로드하여 주민등록번호를 포함한 개인정보가 유출되었다. ＊ 성명, 주민등록번호, 연고지, 학력, 최초임용일, 전직급임용일 현직급임용일, 경력, 주소, 징계내역 포함
항목: 주민등록번호·성명·주소·소속·직위 - 2023-07-26 · (비실명) · 제2023-013-173호 · 유출 329명 · 과징금 1,625만 원 원문 ↗
피심인은 주민등록번호가 포함된 기부금품의 모집 및 지출명세서, 결산서류 등을 암호화＊하지 않고 홈페이지에 게시하여 주민등록번호 등 개인정보가 대표 홈페이지 및 구글 검색엔진에 노출되었다. ＊ 피심인은 PC에 DRM을 도입하여 운영하고 있으나, 대표 홈페이지에 공시자료 게시를 위해 해당 4개 파일의 암호화(DRM)를 해제함
항목: 주민등록번호·성명 - 2023-06-27 · (비실명) · 제2023-213-251호 · 유출 754명 원문 ↗
피심인의 교사가 2022년도 학급 배정 결과를 학교 홈페이지에 게재하면서 재학생들의 성명, 생년월일, 성적이 포함된 ‘2022년 학년 반 편성 자료(엑셀파일)’를 게재하여 개인정보가 유출되었다.
항목: 성명·생년월일·나이·학적·성적 - 2023-06-14 · (비실명) · 제2023-212-220호 · 유출 2명 원문 ↗
쇼핑몰의 기존 회원정보를 신규 쇼핑몰로 이전하면서, 신규 회원의 ‘주문테이블 회원정보’ 항목에 신규 통합회원번호가 아닌 기존 이용자의 회원번호를 업데이트하여, 신규 회원이 통합 쇼핑몰 로그인 시, 기존 이용자의 주문정보＊가 노출되는 오류가 발생하였다. ＊ 주문정보는 단순 구매이력 정보로 결제정보 등은 미포함
항목: 성명·연락처·이메일·주소·IP·접속기록 - 2023-06-14 · (비실명) · 제2023-212-216호 · 유출 13명 원문 ↗
피심인은 발송시스템 개선을 위한 소스코드 배포 과정에서 테스트 절차를 소홀히 하여, 동시간에 이메일을 발송한 다른 이용자의 이메일 주소가 노출되는 오류가 발생하였다. ＊ ‘A’가 이메일을 보낼 경우, 보낸사람 칸에 ‘A’ 대신 ‘(동시간에 이메일을 발송한) B가 A를 대신하여’로 입력되어 메일이 발송되었고, 이에 따라 관계없는 ‘B’의 이메일 주소가 노출됨
항목: 이메일·주소 - 2023-06-14 · (비실명) · 제2023-010-108호 · 유출 66,702명 · 과징금 액수 비공개 원문 ↗
피심인은 ’21. 8. 1. 회원 검색기능 추가 등 관리자 페이지 개선 작업을 진행하는 과정에서 관리자 인증 정보를 확인하는 로직을 누락하였으며, 이로 인해 회원 검색페이지에 누구나 접근이 가능하여 검색엔진에서 특정 아이디와 이름 검색 시 회원 정보가 노출되었다.
항목: 성명·연락처·이메일·주소·아이디·비밀번호 - 2023-05-10 · (비실명) · 제2023-008-074호 · 유출 27,863명 · 과징금 2,500만 원 원문 ↗
연계서비스 중 하나인 운영기관 측에서, 본인이 서류를 신청한 경우 본인이라도 주민등록번호가 마스킹되어 발급되는 문제가 있다며, 마스킹을 해제해주면 사안에 따라 측이 마스킹 처리하겠다’고 요청함에 따라, 피심인은 그동안 활성화되어 있지 않던 ‘신청인 구분코드(null)’ 값이 측에 부여되고 있음을 인지하고, 해당 값에 대해 주민등록번호가 마스킹 처리되지 않도록 공통 모듈 소스를 수정하였다. 그러나 해당 신청인 구분코드(null) 값은 뿐만 아니라, 본인 이외의 민원인이 홈페이지를 통해 접근하는 경우에도 동일한 값(null)으로 전달되고 있었고, 변경된 소스의 마스킹 해제 경로를 따라 의 주민등록번호가 마스킹 없이 노출되었다.
항목: 주민등록번호·외국인등록번호·여권번호 - 2023-04-12 · (비실명) · 제2023-006-059호 · 유출 211건 · 과징금 액수 비공개 원문 ↗
(유출 경위) 피심인은 홈페이지 개선과정에서 접근통제 조치를 하지 않아 시스템 오류(로직 오류)＊가 발생했을 때, 이용자의 주민등록번호 등 개인정보가 포함된 신분증( )이 기간 동안 특정 URL에 검색가능한 상태로 노출되어 권한없는 자가 외부에서 접근이 가능토록 함 ＊
항목: 주민등록번호 - 2023-04-12 · (비실명) · 제2023-006-049호 · 유출 4,087명 원문 ↗
권한 없는 외부인(이하 ‘신고인’)이 ‘21.10.28.~11.15. 기간 동안 구글 검색을 통해 ‘종합관리시스템 내 파일 디렉토리에 직접 접근하여 679건의 문서를 다운로드하였으며, 이중 일부 문서에 개인정보가 포함됨 - 신고인은 URL에 포함된 파일 식별번호 값을 임의로 변경하면 시스템 내 파일에 접근 가능한 사실을 발견하고, 별도의 권한 없이 개인정보가 포함된 비공개 문서를 내려 받음 - 피심인은 신고인의 제보를 통해 이를 인지하였고, 구글 검색에 특정 검색어를 조합하여 지원시스템 내 파일 디렉토리에 직접 접근이 가능한 URL을 찾음 3) (유출항목 및 규모) 종사자의 이름, 주민등록번호＊, 생년월일, 휴대 전화, E-Mail, 주요경력, 소속, 직위, 주소, 학력, 고용형태, 채용구분, 입사일, 계좌번호, 급여정보, 소득정보 등 4,087명 12,375건 ＊ 주민등록번호 유출은 10건이며, 이와 관련하여 피심인은 협약기업이 증빙문서 파일 제출시, 주민등록번호 뒷자리를 마스킹 처리하여 제출할 것을 요청하고 있으나, 일부 기업이 마스킹 처리를 하지 않고 제출하였다고 소명하였음
항목: 주민등록번호·성명·주소·생년월일·나이·계좌·카드번호·소속·직위 - 2023-04-12 · (비실명) · 제2023-006-048호 · 유출 49,694명 원문 ↗
피심인의 홈페이지 특정경로에 접근통제가 적용되어 있지 않아 비인가자의 접근이 허용되어 구글 검색엔진에서 개인정보가 유출되었다. 2) 유출경과 및 대응 - ('21. 1. 29.) 한국인터넷진흥원(KISA) 탐지조사팀의 유선 연락을 받고 로그 분석을 통해 외부자가 조회한 것을 확인하여 개인정보 유출인지 - ('21. 1. 30.) 피심인 홈페이지에 개인정보 유출사실 공지, 개인정보보호 포털에 개인정보 유출 신고, 정보주체에게 유출 사실 통지(문자전송)
항목: 성명·연락처·생년월일·나이·아이디·비밀번호 - 2022-11-30 · (비실명) · 제2022-019-161호 · 유출 30명 원문 ↗
(유출 경위) ’21. 9. 7.부터 ’21. 11. 5.까지 이벤트 참여자의 개인정보가 기재되어 있는 페이지의 읽기 권한을 ‘관리자 ’가 아닌 ‘비회원 이상’으로 설정하여 구 글 등 검색엔진에서 관련 키워드 검색 시 이벤트 참여자 개인정보가 노출 되었다.
항목: 성명·연락처·주소·아이디·비밀번호 - 2022-11-30 · (비실명) · 제2022-019-158호 원문 ↗
(유출 경위) 피심인은 의 효율적 개발을 위하여 공개용 라이브러리(library)를 이용하였는데 해당 라이브러리 오류로 이용자가 로그인 시 해당 이용자의 정보가 아닌 직전에 로그인한 다른 이용자의 정보를 전송하여 타인에게 개인정보가 노출되는 현상이 발생함 - 3 -
항목: 성명·연락처·이메일·주소·IP·접속기록 - 2022-09-28 · (비실명) · 제2022-016-134호 원문 ↗
홈페이지의 관리자페이지에 관리자 로그인 없이 접근이 가능하도록 운영하는 등 접근 통제에 관한 안전조치를 소홀히 하여 홈페이지 회원의 개인정보가 인터넷에 노출되었으며, 개인정보취급자가 홈페이지 관리자페이지에 접속한 기록을 보관하지 않았다. 2. 개인정보보호 법규 위반 행위 사실 가. 개인정보처리시스템의 안전성 확보 조치를 소홀히 한 행위 피심인은 운영하고 있는 홈페이지의 관리자페이지에 로그인 등 별도의 접근통제 없이 열람 권한이 없는 자의 접근이 가능하도록 운영하는 등 접근 통제에 관한 안전조치를 소홀히 하였다. 또한 피심인은 개인정보취급자가 개인정보처리시스템에 접속한 기록을 보관하지 않았다. - 2022-03-23 · (비실명) · 제2022-005-027호 원문 ↗
및 규모 피심인은 온라인 세미나 신청자가 본인의 개인정보가 검색엔진(구글)에서 검색된다는 문의가 접수되어, 내부 확인 과정을 통해 유출 사실을 인지하였다. 이로 인해 신청자의 성명, 휴대전화번호, 이메일 주소, 직장명이 포함된 개인정보가 유출되었다. 나. 유출 경과 및 대응 - ’21.9.23. 외부 인터넷 검색엔진(구글)에서 본인의 개인정보가 검색되고 있다는 온라인 세미나 신청자의 전화를 받고, 홈페이지 개발 업체 수탁사에 문제 확인 및 수정 요청하고, 접속 페이지를 차단 조치함 - ’21.9.24. 개인정보보호 포털에 유출 신고함 - ’21.9.26. 검색엔진(구글)에서 노출 페이지가 검색되지 않고 최종 삭제된 것을 확인함 - ’21.9.27. 관리자페이지 소스 프로그램을 변경하여 노출 페이지 차단 조치함
설정 오류·시스템 장애
결정문 원문 보기 9건
- 2026-04-08 · 양산경찰서 · 제2026-207-111호 원문 ↗
피심인 소속 직원은 ’23.11.20. ‘ 등 상환의무 면제 요청 보고’ 공문 및 첨부파일의 비공개 설정 기간이 경과한 후 재설정하지 않음에 따라, 정보공개포털에서 공개로 전환되어 개인정보가 유출되었다.
항목: 주민등록번호·성명·연락처·주소 - 2025-05-14 · 노원구 · 제2025-209-220호 · 유출 21명 원문 ↗
피심인은 관련 다수인 민원을 처리하는 과정에서, ’23. 8. 2. 민원인의 개인정보가 포함된 민원 처리 보고 문서를 대국민 공개로 설정하여 해당 문서가 ‘서울정보소통광장’ 1) 서울특별시 정보공개시스템으로 공공기관 결재문서, 연구용역자료 등 다양한 행정정보 제공 닫기 에 원문 공개되었다. 구체적으로, 관련 다수인 민원 업무 담당자는 기존 문서를 참고하여 민원 처리 보고 문서를 작성하면서 해당 문서에 민원인들의 개인정보가 포함된 가 첨부되어 있음에도 부주의하게 이를 ‘대국민 공개’로 설정하였고, 전결권자의 최종 결재에 이르기까지 해당 문서의 공개 설정에 대한 검토‧확인이 제대로 이루어지지 않았으며, 그 결과 위 문서가 ‘서울정보소통광장’에 그대로 원문 공개되었고 위 문서의 첨부파일에 들어 있던 민원인들의 개인정보가 유출되었다.
항목: 성명·연락처·주소 - 2023-06-27 · (비실명) · 제2023-213-255호 · 유출 69명 원문 ↗
(유출 경위) 피심인은 내부 시스템( 시스템)을 개편하는 과정에서 해당 시스템의 시퀀스 DB 관리테이블에서 시퀀스＊ 값 설정＊＊을 잘못하여, ＊ 유일한 값을 갖도록 숫자를 순서대로 자동으로 생성해주는 명령어 ＊＊ 해당 시퀀스 값 설정 오류에 대한 사전 테스트 검증을 소홀히 한 사실도 확인 - 시퀀스 현재 값(CURR_NO)이 기존에 저장된 운전면허증 사본 파일의 시퀀스 값과 중복되었고, 이로 인해 동안 내부시스템을 통해 고객에게 안내 이메일 발송 시 타인의 운전면허증 사본 파일이 함께 첨부되었음 ※ ※
항목: 주민등록번호·외국인등록번호·여권번호·성명·이메일·주소·생년월일·나이 - 2023-06-14 · (비실명) · 제2023-212-217호 · 유출 10명 원문 ↗
피심인의 소스코드 설정 오류＊로 ’21. 11. 2. 09:12부터 ’21. 11. 2. 09:21.까지 주문 목록 페이지( )에 접근한 이용자가 본인의 주문정보뿐만 아니라 로그인된 다른 회원들의 주문정보에도 접근할 수 있게 되어 개인정보가 유출되었다. ＊ 담당자 실수로 $marketPlaceMember[marketPlaceMemberSeq] = 0 ; 코드가 삽입된 채 소스코드가 배포되어 주문 목록 페이지에 접근한 회원의 고유번호가 0으로 변환되면서 당시 로그인된 모든 회원들의 주문정보에 접근이 가능해졌음 1) 유출 경과 및 대응
항목: 성명·연락처·주소·IP·접속기록 - 2023-06-14 · (비실명) · 제2023-010-107호 · 유출 285명 · 과징금 액수 비공개 원문 ↗
피심인은 운영 인프라 체계 전환＊을 위한 정기 작업 후, 시스템 설정 오류로 인한 장애가 발생하여 이용자의 개인정보가 다른 이용자에게 유출되었다. ＊ 피심인은 ‘＊＊＊＊＊’ 서비스 운영 시스템 인프라를 에 위탁하여 운영하였으나 ’22.7월 이후부터 모든 인프라를 AWS로 이관하여 자체 운영 중임 피심인의 시스템 설정 오류로 인해 신규 가입회원과 소셜 로그인으로 신규 접속한 회원＊의 정보가 운영 DB가 아닌 테스트용 DB에 저장되었으며, 이 과정에서 기존 회원에게 부여되었던 회원번호(member_no＊＊)가 신규 가입자에게 재발급(오류 발생: ’22.3.25. 04:20~08:00경)되었다. ＊ 소셜 로그인 회원의 경우 로그인 시 일치하는 회원 정보가 없으면 신규 가입페이지로 이동하게 되며 이후, 신규 회원가입 절차와 동일하게 처리 후 DB에 저장됨 ＊＊ 테스트용 DB에서 신규 가입자에게 회원번호 발급 시, 운영 DB에 이미 발급한 이력이 있는 회원번호가 중복으로 부여됨 피심인은 설정 오류를 정상 조치(‘22.3.25, 08:00경)하였으나, 오류 시간 동안 테스트용 DB에 회원정보가 저장된 이용자가 로그인 시 운영 DB의 동일한 회원번호를 가진 이용자로 로그
항목: 연락처·IP·접속기록 - 2023-05-10 · (비실명) · 제2023-008-076호 · 유출 15,460건 원문 ↗
대여 신청자 명단 관리자페이지 URL이 접근통제가 해제(해제시기 불상)된 상태로 외부 검색 엔진(MS Bing)에 노출되었으며, 해당 URL을 클릭하면 별도 로그인 과정 없이 관리자페이지로 접근이 가능하였고, 로그 분석 결과 ’21.5.9.∼6.8. 외부 검색 엔진을 통해 165개 페이지의 접근을 허용한 사실을 확인하였다.
항목: 성명·연락처·주소·아이디·비밀번호 - 2023-03-22 · (비실명) · 제2023-005-047호 · 과징금 액수 비공개 원문 ↗
(유출 경위) 피심인의 관리자 페이지의 로그인 인증방식을 변경 하면서 개발자의 실수로 시스템 설정 오류＊ 가 발생하여 비정상적인 접근이 허용되어 검색엔진에 관리자 페이지의 주소(URL)가 검색가능한 상태로 노출됨 ＊ 외부에서 관리자페이지를 모바일로 확인하기 위해 로그인 방식을 변경(세션인증→쿠키인증)했는데, 모바일 버전의 관리자 페이지에서 변경할 쿠키 값이 누락되어 모든 이용자에게 접근이 허용됨
항목: 성명·연락처·주소·IP·접속기록 - 2023-01-11 · (비실명) · 제2023-001-001호 원문 ↗
(유출 경위) 피심인은 ’15. 8월경 시스템을 고도화(정보통신망법 시행령 개정에 따른 조치)하는 과정에서, 휴면 계정 해제 시 비밀번호 확인 없이 아이디 입력만으로도 휴면 계정이 해제될 수 있도록 운영하여 이용자의 개인정보가 유출되었다. - 언론보도 내용인 DI값 중복 설정 오류가 아닌, 휴면 계정 해제 시 아이디와 해당 아이디에 대한 비밀번호를 확인하는 로직이 누락되어, 이용자가 타인의 아이디만을 입력하고 접속을 시도해도 휴면 계정이 해제되는 오류가 발생하였다. ※ 해당 계정이 휴면 계정일 경우에만 발생하는 현상으로, 휴면 계정이 아닐 경우에는 비밀번호 불일치 시 로그인되지 않음
항목: 성명·연락처·이메일·주소·아이디·비밀번호·IP·접속기록 - 2022-08-10 · (비실명) · 제2022-013-092호 원문 ↗
피심인의 0000시스템 고도화 전환을 위한 시스템 내 데이터베이스(DB) 이관작업 중 이관항목에 ID를 포함시키지 않아 원 데이터가 정상적으로 이관되지 않았고, 개인의 메시지함에서 타인의 메시지(메시지 제목, 내용, 발송자 성명 등)가 랜덤하게 노출되는 장애가 발생하였다. 2) 유출경과 및 대응 - (‘21.2.2. 00:00) 0000시스템 고도화작업 완료 후 시스템 오픈 ※ 데이터 이관 오류에 따른 타인의 메시지함 노출 - (‘21.2.2. 04:45) 학부생의 신고로 메시지함 장애 사항 인지 - (’21.2.2. 05:20) API 2)
계정 도용·대입 공격
결정문 원문 보기 7건
- 2026-07-22 · 전남대학교 · 제2026-214-290호 원문 ↗
재학생 1명이 의 학생 계정 ID가 6자리 학번이고, 비밀번호가 6자리 생년월일이라는 점을 알아낸 뒤 ‘23.3.12. 다른 학생의 계정으로 전남대 포털에 접속하여 해당 학생의 개인정보를 열람하였다.
항목: 학적·성적 - 2025-02-12 · ㈜섹타나인 · 제2025-003-006호 · 과징금 14억 7,700만 원 원문 ↗
해커가 알 수 없는 방법으로 사전에 획득한 이용자의 아이디와 비밀번호를 이용하여 ‘크리덴셜 스터핑’ 공격 방식을 통해 피심인이 운영중인 앱 API에 무차별 대입 공격을 시도하여, ’22. 10. 5. ~ ’22. 10. 11. 동안 피심인의 시스템에 불법적으로 접근하였고, 국외 IP 주소(6개)를 통해 109,183회 로그인을 시도하여 7,585명의 계정으로 로그인에 성공(성공률 7%) 후 API 응답값에 포함된 개인정보를 탈취하였으며, 이 중 124명의 잔여 포인트를 무단으로 사용＊하였 다. 이 과정에서 동일 IP에서 로그인 시도 횟수는 최대 1분당 5,063회, 1초당 84회
항목: 성명·아이디·비밀번호·계좌·카드번호 - 2024-01-24 · 한국장학재단 · 제2024-002-009호 · 유출 32,599명 원문 ↗
신원 불상의 자가 불상의 방법으로 아이디와 패스워드를 획득한 후 다른 사이트에서도 이를 동일하게 사용하였을 것이라는 전제하에 프로그램을 활용하여 성공할 때까지 로그인을 시도하거나 패스워드에 약간의 변화를 주어 로그인을 시도하는 ‘크리덴셜 스터핑’ 방식을 이용하여, ’23.6.21.∼6.27. 피심인의 홈페이지에 불법적으로 접근하였고, 국내외 441,464개의 IP를 통해 총 21,037,622회 로그인을 시도하여 36,748회(중복 제거시 32,599회) 로그인에 성공(성공률 0.17%)하였다. 이 과정에서 1분당 홈페이지 로그인 시도 횟수가 최대 14,440회(1초당 240회)까지 증가하였고, 중국발 트래픽 량이 평소(’23년 1∼8월중 일평균 384,685패킷)보다 최대 36배(6.25. 13,847,468패킷)까지 증가하였으며, ID·PW 입력 오류로 인한 계정 잠김 현상이 평소(’23.6.1.∼6.20. 일평균 78.8회)보다 68배(6.21. 5,418회)까지 증가하는 등 비정상적인 로그인 시도가 급증하였다. 로그 분석 결과 홈페이지의 ‘로그인 페이지’(개인정보 없음)와 ‘마이페이지’(개인정보 13종)에 동일하게 접근한 이력이 확인되었고, 여타 페이
항목: 주민등록번호·성명·연락처·이메일·주소·학적·성적 - 2024-01-24 · 한국고용정보원 · 제2024-002-008호 · 유출 236,527명 원문 ↗
신원 불상의 자가 불상의 방법으로 아이디와 패스워드를 획득한 후 다른 사이트에서도 이를 동일하게 사용하였을 것이라는 전제하에 프로그램을 활용하여 성공할 때까지 로그인을 시도하거나 패스워드에 약간의 변화를 주어 로그인을 시도하는 ‘크리덴셜 스터핑’ 방식을 이용하여, ‘23.6.29.∼7.5. 피심인의 시스템에 불법적으로 접근하였고, 국내외 26개 IP(중국 19개, 한국 7개)를 통해 총 45,110,745회 로그인을 시도하여 21개 IP(중국 15개, 한국 6개)를 통해 564,134회(중복 제거시 236,527회) 로그인에 성공(성공률 1.25%)하였으며, 이 과정에서 1분당 홈페이지 로그인 시도 횟수가 최대 9,997회(평균 4,385회, 초당 73.08회)까지 급증하였다. 로그 분석 결과 신원 불상의 자는 해당 공격을 통해 홈페이지의 ‘회원정보 수정(성명변경)‘ 페이지에 482,619회 접근하였고, ‘이력서·자기소개서 관리’ 페이지에 482,408회 접근한 사실을 확인하였다. ※ 시스템 네트워크 구성도
항목: 주민등록번호·성명·연락처·이메일·주소·사진·영상 - 2023-07-12 · (비실명) · 제2023-012-151호 · 과징금 액수 비공개 원문 ↗
해커는 피심인의 홈페이지에 크리덴셜 스터핑 공격을 시도하여 로그인에 성공한 계정의 페이지 등 개인정보를 열람하였다. ※ 해커는 2,179,561회 로그인을 시도(중복제거시 2,002,969건)하여, 51,020회(중복제거시 36,458건)를 성공한 후 개인정보 페이지를 38,218회(중복제거 시 35,076건) 열람함. 이때 사용된 IP 주소는 총 확인됨 해커는 동안 1분당 최대 5,062회, 평균 2,555회의 로그인을 시도하였으며, 피심인이 운영 중인 보안장비 등에서는 대량의 로그인 시도를 탐지‧차단하지 못하였다. ※ 공격에 이용된 로그인 시도 횟수는 4,766회 ~ 1,222,845회임 ※ 공격에 이용된 IP 주소 중 에 접속한 IP주소는 접속한 것으로 확인됨 피심인은 사고 발생 전까지 ‘이용자 로그인 페이지’를 대상으로 동일 IP 주소에서 대량으로 로그인을 시도하는 IP 주소 등을 탐지‧차단하는 정책을 적절하게 운영하지 않았다. - 2023-03-22 · (비실명) · 제2023-005-044호 · 과징금 액수 비공개 원문 ↗
(유출 경위) 피심인이 의 테 스트 환경을 구성‧운영하는 과정에서 신원 미상의 자( , )가 알 수 없는 방법으로 획득한 계정정보를 이용하여 및 에 피심인의 데이터베이스에 접속하여 이용자의 개인정보가 유출됨 - 3 -
항목: 성명·연락처·이메일·아이디·비밀번호·소속·직위 - 2022-05-11 · (비실명) · 제2022-008-049호 · 과징금 액수 비공개 원문 ↗
(유출경위) 해커가 알 수 없는 방법으로 획득한 계정정보를 이용하여 데이터베이스 관리도구(phpmyadmin)＊에 접속하고 회원 데이터베이스 테이블을 다운로드함 ＊ MySQL을 웹상에서 관리하기 위해 PHP로 작성된 무료 소프트웨어로, 데이터베이스에 대한 테이블·필드·컬럼의 생성·수정·삭제 및 권한관리, 쿼리 작성 등 다양한 기능 지원 - ’21. 6. 5. 03:14 : 해커( , 한국)가 알 수 없는 방법으로 획득한 파일전송서버(FTP server)의 계정정보(bomastaer)를 이용하여 파일전송서버에 접속하고 웹셸(dd.php, root.php, mysql.php, thanks.php 등 4개)을 업로드＊한 후 데이터베이스 설정파일(database.yml)을 다운로드함 ＊ 해커가 파일전송서버에 웹셸 업로드 및 접속하였으나, 웹셸을 이용하여 개인정보를 조회한 흔적 등은 발견되지 않음 - ’21. 6. 5. 03:15 : 해커가 데이터베이스 관리도구(phpMyadmin)에 접속＊하여 데이터베이스 조회 및 관리자페이지( ) 비밀번호 변경 ＊ 해커가 다운로드한 데이터베이스 설정파일(database.yml)에 데이터베이스 계정정보가 포함되어 있어, 이를 이용하
항목: 성명·연락처·이메일·주소·생년월일·나이·아이디·비밀번호
원인 불명·확인 안 됨
결정문 원문 보기 5건
- 2024-11-27 · (비실명) · 제2024-223-713호 · 유출 12,131명 원문 ↗
2023. 8. 20. 신원 미상의 자(IP: )가 피심인의 홈페이지 DBMS 관리자 페이지( )에 로그인하여 회원정보가 담긴 데이터베이스를 삭제하고, 테이터베이스 복구를 위해서는 비트코인을 입금하라는 내용이 담긴 DB 테이블을 신규로 작성하였다. 관리자 계정(root)의 비밀번호가 설정되어 있지 않아, 위 신원 미상의 자가 비밀번호 입력 없이 로그인에 성공한 것으로 추정된다.
항목: 성명·연락처·이메일·주소 - 2024-11-04 · (비실명) · 제2024-221-661호 원문 ↗
및 규모 2023. . . 신원 미상의 자가 해외 IP를 통해 웹사이트 관리자 계정에 로그인하여 비밀번호와 휴대전화 번호 및 이메일주소를 변경하였다. 피심인은 위 사고 발생 당시 소속 회원들의 개인정보 조회‧수정‧변경 등 관리자 계정의 접속기록을 보관하지 않아 유출 여부 및 정확한 유출 항목과 규모는 알 수 없다. 다만, 신원 미상자가 2023. . . : 관리자 계정에 로그인하였고, 이틀 뒤인 2023. . . : 관리자 계정의 비밀번호가 변경된 사실을 피심인이 인지하였음에 비추어 보건대, 피심인이 웹사이트를 통해 수집‧보유한 명의 개인정보가 유출되었을 가능성이 없다고 단정할 수는 없다. - 2023-07-26 · (비실명) · 제2023-013-182호 · 유출 15명 원문 ↗
피심인은 충청북도 청주교육지원청의 요청으로 ’20. 3월에 ‘2020 현황’ 제출을 위해 ‘2020 대상자명단’을 작성하였으며, ＊ 「초·중등교육법」 제25조의2, 「장애인등에 대한 특수교육법」 제8조 및 제22조에 따라 자료를 수집함 학생의 수업 지도 시 학생 특성을 미리 파악하기 위해 명단을 인쇄하였으나, 해당 명단이 학생에게 제공되는 이면지에 섞여 개인정보가 유출되었다. ※ 피심인은 정확한 유출 시기를 특정하기는 어려우나, 2학기 수업 시작 후인 8월 말～9월 초로 추정된다고 소명함
항목: 주민등록번호·성명·연락처·주소·생년월일·나이 - 2022-11-16 · (비실명) · 제2022-018-152호 · 유출 1명 원문 ↗
(유출 경위) 이용자가 간편 회원가입 시 알 수 없는 오류로 비정상 식별 값(undefined)이 전송되어 다른 이용자의 계정으로 로그인 처리됨 ’20. 11. 20. : 이용자A는 간편 회원가입을 진행하였고, 계정 연동 과정에서 알 수 없는 오류로 인해 으로부터 비정상 식별 값(undefined)을 전송받아, 시스템에 이용자A의 식별 값이 비정상 값인 ‘undefined’로 그대로 저장되고 회원가입이 완료됨 ’21. 5. 11. : 이용자B가 간편 회원가입을 진행하였으나, 계정연동 오류로 으로부터 비정상 식별 값(undefined)을 전송받으면서 회원가입 되지 않고, 동일한 식별 값(undefined)으로 저장되어 있던 이용자A의 계정으로 로그인 처리되어 이용자A의 개인정보가 이용자B에게 조회됨
항목: 연락처·이메일·주소·아이디·비밀번호·IP·접속기록 - 2022-07-13 · (비실명) · 제2022-012-087호 · 유출 6,395,270건 · 과징금 액수 비공개 원문 ↗
(유출 경위) 신원 미상의 자가 알 수 없는 방법으로 확보한 AWS Access key를 이용하여, ’21. 8. 29. ~ 30. 기간 동안 데이터베이스 임시저장 파일이 보관되어 있던 AWS S3(저장장치)에 접근＊하여 개인정보를 조회·유출함 ＊ ’21. 8. 29. 15:51부터 ’21. 8. 30. 17:41 기간동안 스웨덴IP(80.78.23.194), 독일IP(94.130.19.36)에서 AWS CLI(시스템 운영·관리 프로그램)를 통해 피심인의 AWS S3에 무단 접근한 후 DB 조회·유출
항목: 이메일·아이디·비밀번호·IP·접속기록
랜섬웨어
결정문 원문 보기 4건
- 2026-07-22 · 인천광역시청 · 제2026-214-291호 원문 ↗
피심인이 보안 정책을 업데이트 하는 과정에서 알 수 없는 이유로 방화벽에 장애(’23.12.26. 11:10∼16:00)가 발생하였고, 이로 인해 방화벽에 설정해 놓은 접근통제 정책＊이 일시적으로 비활성화되었고, 그 사이 신원 미상의 해커(IP:94.156.71.54, 네덜란드)가 개방된 를 통해 원격으로 접속, DB를 삭제(’23.12.26. 12:50)하고 랜섬노트＊＊를 남김 ＊ 피심인은 방화벽에 외부 접근은 모두 차단하는 정책을 적용하고 있었음 ＊＊ 랜섬노트: “데이터를 복구하고 싶으면 0.017비트코인을 내라”
항목: 성명·이메일·주소 - 2025-11-26 · 필 리 핀 항공 · 제2025-222-446호 원문 ↗
해커는 피심인의 마일리지 서비스 관련 업무를 위탁받은 악셀리야(이하 ‘수탁사’) 의 항공 어플리케이션 접근용 가상데스크탑(VDI) 서버에 ’22. 7. 18.경 최초 침입한 후, ’22. 7. 24. ~ 8. 3. 동안 해커는 기 침입한 VDI 서버를 통해 다른 서버 및 도메인 컨트롤러에 접속 후 악성코드 구동 등 공격을 시도하였다. ’22. 8. 3.경 해커는 도메인 컨트롤러 및 개인정보가 저장된 파일서버 등에 접근 하여 개인정보가 포함된 내부 데이터를 유출하였고, 랜섬웨어를 실행·배포하여 개인정보가 포함된 내부 데이터를 암호화하였다.
항목: 성명·생년월일·나이 - 2025-07-23 · (재)전남테크노파크 · 제2025-016-236호 · 유출 1,261명 · 과징금 9,800만 원 원문 ↗
사고 당시 피심인은 운영 중인 의 DBMS 계정에 유추하기 쉬운 아이디( 등)와 비밀번호( 등)를 사용하고 있었고, 신원 미상의 자( , 미국, 이하 ‘해커’라 한다)가 상기 계정 중 일부를 이용하여 외부에서 DB에 불법 접근하여 개인정보를 유출했다고 주장하고 있고, 저장된 개인정보는 삭제·훼손되었다. 해커는 DB 내에 “너의 DB를 백업했다. 복구하고 싶으면 0.0151 비트코인(한화 75만원 상당)을 요구하는 메시지(랜섬노트)를 남긴 것으로 확인되었다.
항목: 성명·연락처·이메일·아이디·비밀번호·소속·직위 - 2025-07-23 · ㈜해성디에스 · 제2025-016-235호 · 과징금 3억 4,300만 원 원문 ↗
신원 미상의 자(이하 ‘해커’)는 피심인이 운영하는 사 의 취약점을 악용하여 VPN에 로그인 후, 프로그램을 통해 사내망에 접근하였다. 해커는 호스트에 접근한 이후 ~ 사이에 내부 시스템 확인 및 개 시스템 접근 후 데이터를 외부로 유출한 것으로 파악되었다. 이후, 해커는 ~ 기간 중 피심인이 운영하는 다수의 시스템에 랜섬웨어 파일을 배포 및 감염시켰다.
문서 분실·파기 미흡
결정문 원문 보기 3건
- 2026-07-22 · 용인시청 · 제2026-214-295호 원문 ↗
수지구청에서 관리하는 대장 바인더 776권 중 17권이 원인 불명의 사유로 분실되었다. 이번 분실과 관련하여 수사를 담당했던 용인서부경찰서에 따르면 수지구청사 이전(2012년) 과정에서 분실되었을 가능성이 높으며, 경찰은 폐지더미 사이에서 (구)건축물대장 17권을 습득한 자로부터 압수(’25.3.)하였고, 이를 수지구청에 반환(’25.7.) 하였다.
항목: 주민등록번호·성명·주소 - 2025-09-10 · 마포구 · 제2025-217-348호 · 유출 8명 원문 ↗
피심인 소속의 운영 담당자( )는 ’24. 6. 27. 18:30경 출 장 중에 업무용 휴대전화를 분실하였다. 는 평소 자원봉사자의 신분 확인 및 실비 지급을 위해 현장에서 신분증을 열람하고, 신분증을 지 - 2 - 참하지 않은 사람의 경우에는 이메일이나 문자로 주민등록번호 뒷자리가 가려 진 신분증 사진을 전송 받아 확인하는 식으로 업무를 수행해 왔는데, 분실한 의 업무용 휴대전화에는 전송 받은 자원봉사자 8명의
항목: 외국인등록번호·여권번호·성명·연락처·주소 - 2023-05-10 · (비실명) · 제2023-008-080호 · 유출 37건 원문 ↗
기자가 재활용 분리장에 들어가 마대자루 속에 있던 개인정보가 포함된 서류를 발견하고 사진 촬영 후 관련 내용을 기사화하여 보도하면서 개인정보가 유출되었다. 재활용 분리장에서 기자에게 발견된 2개 부서( ) 서류들은 종이류 쓰레기통에 담겨있다가 재활용 분리장까지 반출된 것으로 추정된다. ※ 관련 부서들에는 CCTV가 없거나, 있더라도 종이통 위치를 비추지 않고 있음 2) 유출경과 및 대응
항목: 주민등록번호·소속·직위
사회공학·사칭
결정문 원문 보기 2건
수탁자·위탁 관계에서
결정문 원문 보기 1건
- 2026-05-27 · 행정안전부 · 제2026-010-066호 · 유출 1명 · 과징금 2억 7,300만 원 원문 ↗
수탁자 2) 구축사업단: / 계약기간: ‘23.9.12.~’24.5.9. 닫기 중 하나인 는 교육부 연계모듈 37종의 서비스를 통합하기 위한 소스코드를 개발하고, 운영서버에 반영하기 전 테스트를 거쳐(’24.3.25.~28.) 배포(’24.3.28.)하였는데, 정부24로 다수의 민원이 동시에 접수＊됨에 따라 시스템에 부하가 발생하여, 원래 민원인이 아닌 타인의 민원서류가 무작위로 발급(’24.3.28.~4.1.)되었다. ＊ 3.28.20:00부터 4.1. 19:00(95시간)까지 NEIS 연계 민원 434,172건(74.4건/분) 접수
항목: 주민등록번호·성명·주소·생년월일·나이·학적·성적·사진·영상
이 표에서 읽을 것
기술적 공격과 사람의 실수가 반반입니다. 취약점·설계 결함과 외부 침입을 합치면 경위가 적힌 건의 절반에 가깝고, 담당자 실수와 잘못된 게시를 합치면 또 4분의 1입니다. 보안 투자만으로도, 교육만으로도 덮이지 않는 분포입니다.
취약점 사고의 내용은 반복됩니다. SQL 인젝션, URL 파라미터 변조, 디렉토리 리스팅, 관리자 페이지 인증 누락 — 결정문에 같은 말이 몇 년째 나옵니다. 새로운 공격 기법이 아니라 오래된 목록입니다.
과징금 비율의 차이는 인과가 아닙니다. 외부 공격 사고가 과징금으로 이어진 비율은 담당자 실수 쪽의 두 배가 넘습니다. 그러나 과징금 상한은 관련 매출액을 기준으로 정해지고, 규모가 큰 서비스가 외부 공격의 표적이 되기도 쉽습니다. 두 사실이 겹쳐 있어 「해킹이면 과징금」으로 읽으면 틀립니다.
항목은 거의 언제나 성명·연락처·주소입니다. 그 위에 무엇이 얹히는지가 사건을 가릅니다 — 주민등록번호, 계좌·카드번호, 아이디·비밀번호가 얹힌 사고가 그렇지 않은 사고보다 과징금 비율이 높습니다.
이 표에 없는 것
- 유출이 아닌 위반. 동의·처리방침·파기 같은 위반은 유출 절이 없어 들어오지 않습니다.
- 경위를 적지 않은 결정문. 유출 사고이지만 위원회가 경위를 서술하지 않은 건이 있습니다.
- 적히지 않은 유출 항목. 항목은 「유출 내용」 절 안에서만 셉니다.
- 결정문이 공개되지 않은 제재. 결정문 미공개층에는 사실 절이 없습니다.
자주 묻는 질문
Q. 개인정보 유출 사고는 주로 어떻게 일어나나요?
결정문이 경위를 적은 206건을 보면 웹 취약점과 설계 결함이 가장 많고(SQL 인젝션, 파라미터 변조, 디렉토리 리스팅, 권한 체크 누락), 그다음이 해커의 직접 침입, 담당자의 오발송·오게시, 마스킹하지 않은 게시 순입니다. 기술적 공격과 사람의 실수가 대략 비슷한 비중을 차지합니다. 랜섬웨어나 계정 대입 공격은 생각보다 적게 나옵니다.
Q. 주민등록번호가 유출되면 처분이 무거워지나요?
공개된 결정문에서는 주민등록번호가 포함된 사고 83건 중 37건(45%)에 과징금이 부과됐고, 포함되지 않은 사고는 211건 중 66건(31%)입니다(두 쪽 모두 액수가 비공개인 과징금을 포함해 셌습니다). 차이가 있기는 하지만 이것을 「주민등록번호가 있으면 과징금」이라는 규칙으로 읽으면 안 됩니다. 차이의 상당 부분은 법이 바뀐 데서 옵니다. 2023년 9월 15일 개정 전 개인정보 보호법은 주민등록번호가 유출된 경우에만 따로 5억 원 이하의 과징금을 둘 수 있게 했고(제34조의2, 안전성 확보 조치를 다한 경우 제외), 그 밖의 유출은 정보통신서비스 제공자 특례(제39조의15, 2020년 8월 전에는 정보통신망법)에 해당하지 않으면 과태료와 시정명령으로 처분됐습니다. 의결일로 나눠 보면 개정 전 의결에서는 주민등록번호가 포함된 사고의 57%, 포함되지 않은 사고의 25%에 과징금이 부과됐고, 개정 후 의결에서는 각각 40%와 34%로 차이가 좁아졌습니다(개정 후 의결에도 옛 법이 적용된 사건이 섞여 있습니다). 현행법은 주민등록번호 여부와 관계없이 안전조치를 소홀히 해 유출된 경우 전체 매출액의 3% 이하 과징금을 부과할 수 있습니다(제64조의2).
Q. 담당자 실수로 잘못 보낸 것도 처분되나요?
처분됩니다. 오발송·오첨부·잘못된 게시로 시작된 사고가 결정문에 상당수 있고, 대부분 과태료와 시정명령으로 끝납니다. 과징금으로 간 비율은 외부 공격 사고보다 눈에 띄게 낮습니다. 다만 처분을 피한다는 뜻이 아니라 금액대가 다르다는 뜻입니다.
Q. 이 표에 없는 사고는 유출이 없었다는 뜻인가요?
아닙니다. 이 표는 결정문이 「유출 경위」나 「유출 내용」 절을 둔 의결만 담습니다. 동의를 받지 않았거나 처리방침을 공개하지 않은 것처럼 유출이 아닌 위반은 애초에 들어오지 않고, 유출 사고라도 결정문이 경위를 적지 않은 건이 있습니다. 유출 항목도 그 절 안에서만 세므로 적히지 않은 항목이 유출되지 않았다는 뜻이 아닙니다.
함께 볼 것
- 유출 경위 유형과 유형별 처분 — 이 표의 경위 기재를 유형으로 묶어 유형마다 처분이 어떻게 갈렸는지 본 해설
- 제재 위반행위 — 그 사고를 위원회가 무슨 위반으로 인정했는가
- 유출 통지·신고 지연 — 며칠 늦으면 처분되는가
- 시정명령 내용 — 사고 뒤에 무엇을 하라고 명받았는가
- 안전조치의무(제29조) 제재 — 조문 단위 조회