모두투어 (㈜모두투어네트워크)

유출된 개인정보 항목

사고 경위

신원미상의 해커가 2024년 6월 모두투어 웹페이지의 파일 업로드 취약점을 이용해 다수의 웹셸 파일을 업로드하고, 악성코드를 실행하여 고객 데이터베이스에서 회원·비회원 306만여 명의 개인정보를 탈취했다.

조사 결과 모두투어는 업로드 파일에 대한 확장자 검증 및 실행권한 제한 등 보안 취약점 점검·조치를 소홀히 했으며, 접근통제 조치도 미흡했던 것으로 확인됐다. 또한 2013년 3월부터 수집한 비회원 316만여 건(중복 포함)의 개인정보를 보유기간 경과 후에도 파기하지 않고 보유하여 대규모 유출 피해를 키웠다. 2024년 7월 유출 사실을 인지했음에도 정당한 사유 없이 2개월이 지난 2024년 9월에야 유출 통지를 실시했다.

개인정보보호위원회는 2025년 3월 12일 제6회 전체회의에서 안전조치 의무 위반, 개인정보 파기 의무 위반, 유출 통지 의무 위반을 이유로 과징금·과태료를 부과하고 공표명령·개선권고를 하기로 의결했다.

처분 결과

과징금 7억 4,700만 원, 과태료 1,020만 원, 공표명령, 개선권고