[HD건설기계] 계열사 간 시스템 접근 미제한으로 임직원 등 9,503명 개인정보 유출, 과징금 부과

[HD건설기계] 계열사 간 시스템 접근 미제한으로 임직원 등 9,503명 개인정보 유출, 과징금 부과_2026년 08월

경험한사람 2026. 8. 29. 20:23

해커가 2024년 3월 HD한국조선해양 서버의 취약점을 이용해 파일을 업로드한 뒤, 계열사 간 시스템 접근이 제한되지 않은 점을 악용해 HD건설기계 내부 시스템까지 침투해 임직원·협력사 직원 9,503명의 개인정보를 유출한 사실이 확인됐다. 개인정보보호위원회는 HD건설기계에 과징금 7,350만원, HD한국조선해양에 과태료 480만원을 각각 부과했다.

□ 개요

개인정보보호위원회는 2026년 8월 26일 제17회 전체회의를 열고 개인정보 보호 법규를 위반한 HD건설기계에 과징금 7,350만원 부과를 의결했다고 27일 밝혔다.
이는 해커가 2024년 3월 HD한국조선해양이 운영하는 서버의 취약점을 이용해 파일을 업로드한 뒤, 이 서버와 통신이 가능했던 HD건설기계의 내부 시스템에 접속해 임직원 및 협력사 직원의 성명, 사번 등 9,503명의 개인정보를 유출한 데 따른 조치다. 이에 따라 HD한국조선해양도 과태료 480만원을 부과받았다.
개인정보보호위원회는 HD건설기계의 내부 시스템과 HD한국조선해양의 서버가 업무상 연계가 불필요함에도 불구하고 두 회사가 시스템 사이 접근을 막지 않아 생긴 일이라고 지적했다. 즉 HD현대그룹 계열사들끼리는 업무적으로 서로 연동될 필요가 없는 시스템임에도 접근을 차단하지 않아, 한 계열사(HD한국조선해양)의 서버 취약점이 다른 계열사(HD건설기계)의 개인정보 유출로까지 이어진 셈이다.
개인정보보호위원회는 개인정보처리자가 웹 취약점으로 인해 개인정보가 유출·노출되지 않도록 보안대책을 정기적으로 검토하고, 불법적 접근 및 침해 사고 방지를 위해 개인정보처리시스템에 관한 접속 권한을 제한해 불필요한 접근을 차단·통제해야 한다고 당부했다.

□ 사고내용 요약

1. 회사명 : HD건설기계(피해기업) / HD한국조선해양(침투 경유지, HD현대그룹 계열사)
2. 사고유형
- 웹 취약점을 이용한 파일 업로드형 해킹 사고
- 계열사 간 시스템 접근통제 미비에 따른 연쇄(우회) 침투 사고
- 임직원·협력사 직원 개인정보 유출 사고
3. 유출규모 : 9,503명
4. 유출항목
- 성명
- 사번

5. 특이사항
- 침해 발생(2024년 3월)부터 개인정보위 제재(2026년 8월)까지 약 2년 5개월이 소요된 장기 조사·심의 사례
- 직접 해킹을 당한 곳은 HD한국조선해양이었으나, 실제 개인정보가 유출된 곳은 HD건설기계라는 점이 이번 사고의 핵심
- 개인정보위는 두 회사 시스템 간 업무상 연계 필요성이 없었음에도 접근을 차단하지 않았던 점을 명확히 지적
- 대기업집단(HD현대그룹) 내 계열사 간 네트워크 분리 미흡이 개인정보 유출의 직접 원인이 된 사례로, 유사 구조를 가진 다른 대기업집단에도 시사점
- 침해를 직접 당한 HD한국조선해양은 과태료, 실제 정보가 유출된 HD건설기계는 과징금으로 제재 수위가 구분됨

□ 사고대응 타임라인

- 2024년 03월
. 해커, HD한국조선해양 서버 취약점을 이용해 파일 업로드(1차 침해)
. 해당 서버와 통신 가능했던 HD건설기계 내부 시스템에 접속(2차 침투)
. 임직원·협력사 직원 9,503명의 성명·사번 유출
- 조사 진행 기간
. 개인정보보호위원회, 사고 경위 및 두 회사의 접근통제 미비 여부 조사
- 2026년 08월 26일
. 개인정보보호위원회 제17회 전체회의 개최
. HD건설기계 과징금 7,350만원, HD한국조선해양 과태료 480만원 부과 의결
- 2026년 08월 27일
. 개인정보보호위원회 제재 결과 공식 발표
. 허프포스트코리아·KBS 등 언론 보도

□ 제재 결과

- HD건설기계 : 과징금 7,350만원 부과(웹 취약점 관리 소홀, 접속 권한 미제한)
- HD한국조선해양 : 과태료 480만원 부과(1차 침해 서버 관리 소홀)
- 개인정보보호위원회, 웹 취약점 정기 검토 및 시스템 접속 권한 제한·통제 의무 강조

□ 재발방지대책(권고사항)

1. 기술적 조치
- 업무상 연계가 불필요한 계열사 간 시스템 접근 전면 차단(망분리)
- 웹 취약점(파일 업로드 등)에 대한 정기 보안점검 및 패치 관리
- 개인정보처리시스템 접속 권한 최소화 및 정기 재검토
- 계열사 간 통신이 필요한 경우에도 화이트리스트 기반 최소 허용 원칙 적용
- 이상 접근·침입에 대한 실시간 탐지 체계 구축

2. 관리적 조치
- 대기업집단 차원의 계열사 간 IT 인프라 연계 현황 전수 점검
- 불필요한 시스템 연동에 대한 정기 감사 및 승인 절차 마련
- 개인정보 보호 법규 준수를 위한 그룹 공통 보안 거버넌스 구축
- 계열사 간 침해사고 확산 방지를 위한 공동 대응 체계 마련

□ 관련기사(출처)

감사합니다.

저작자표시 동일조건 (새창열림)