병원 홈페이지 회원정보 유출 과징금 6.3억, 우리 병원 회원가입은 필요할까요?
안녕하세요. 재계약율 97%, 광고만족도 96.4%를 유지하며 오직 병원만 마케팅하고 있는 오른기획입니다.
병원 홈페이지에 회원가입 메뉴가 있는지 마지막으로 확인해 보신 게 언제인가요? 처음 제작할 때 업체가 기본으로 넣어 두었고, 실제로는 거의 쓰지 않는 기능인 경우가 많습니다.
개인정보보호위원회는 2026년 10월 28일 전체회의에서 대전선병원·유성선병원을 운영하는 영훈의료재단에 과징금 6억 3,000만 원과 시정명령을 의결했습니다. 병원 홈페이지 회원 18만 8,481명의 정보가 해킹으로 빠져나간 사건입니다. 개인정보위는 특히 병원이 회원가입을 "관행적으로" 운영해 왔다는 점을 짚었습니다.
이 글에서는 이번 처분에서 확인된 사실, 우리 병원 홈페이지에서 지금 점검할 것, 회원가입을 없앨지 남길지 판단하는 기준을 정리했습니다.
이번 처분에서 확인된 사실은 무엇인가요?
병원 홈페이지의 기본적인 웹 보안 미비로 회원 약 18만 9천 명의 정보가 유출됐고, 과징금 6억 3,000만 원과 시정명령이 의결됐습니다. 검토 단계가 아니라 이미 확정된 처분입니다.
보도된 내용을 정리하면 다음과 같습니다.
유출 경위: 2024년 3월 해커가 병원 홈페이지의 SQL 인젝션 취약점을 이용했습니다.
유출 항목: 회원 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일
지적 사항: 웹방화벽 등 웹 공격 탐지·차단 장치 미운영, 웹 취약점 점검과 입력값 검증 미흡, 안전하지 않은 암호 알고리즘 사용과 솔트 미적용으로 일부 비밀번호가 원래 값으로 복원될 수 있는 상태
수집 관행: 병원 안내, 게시판, 예약 같은 부가 서비스를 위해 회원가입을 관행적으로 운영하며 개인정보를 수집해 온 점
같은 날 교육기업 대교도 관계사 홈페이지 취약점으로 약 65만 명의 정보가 유출돼 과징금 32억 5,500만 원을 받았습니다. 두 사건 모두 메인 서비스가 아닌 홈페이지가 유출 통로였다는 점이 공통입니다.
작은 의원 홈페이지도 해당되나요?
규모와 상관없이, 홈페이지로 회원 정보를 모으고 있다면 같은 안전조치 책임이 있습니다. 이번 사건이 큰 병원에서 났다고 의원은 예외라고 보기 어렵습니다.
이번에 지적된 SQL 인젝션은 새로 나온 공격이 아니라 오래전부터 알려진 웹 공격 방식입니다. 오히려 제작 후 몇 년간 업데이트 없이 방치된 의원 홈페이지가 이런 공격에 더 취약할 수 있습니다.
개인정보위는 올해 7월에도 홈페이지 관리자 계정이 뚫린 사업자들을 제재하면서, 관리자 페이지 접속을 IP 주소 등으로 제한하고 외부 접속에는 아이디·비밀번호 외 추가 인증을 적용하라고 당부했습니다. 문의게시판 이용자 1,852명 정보가 유출된 사례도 과징금 대상이었습니다. 회원 수가 적다고 처분을 피하는 것은 아니라는 뜻입니다.
우리 병원 홈페이지, 회원가입이 꼭 필요할까요?
회원가입이 없어도 되는 기능이라면 없애는 것이 가장 확실한 예방입니다. 개인정보위도 회원가입 기능이 꼭 필요한지 재검토하라고 당부했습니다.
병원 홈페이지에서 회원가입이 쓰이는 이유는 대개 몇 가지로 좁혀집니다. 기능별로 대안이 있는지 확인해 보시면 판단이 쉽습니다.
온라인 예약: 네이버 예약이나 전화 예약으로 대신할 수 있다면, 홈페이지에 별도 계정을 둘 이유가 줄어듭니다.
상담 게시판: 비회원 비밀글이나 상담 신청서로 바꾸면 아이디·비밀번호를 보관하지 않아도 됩니다. 다만 증상을 받는다면 민감정보 동의가 따로 필요합니다.
공지·이벤트 열람: 대부분 로그인 없이 공개해도 되는 정보입니다.
회원 전용 콘텐츠: 실제 열람 수가 적다면 유지할 근거가 약합니다.
회원가입을 없애기로 했다면 메뉴만 숨기지 말고, 기존 회원 데이터베이스를 어떻게 처리할지까지 홈페이지 업체와 함께 정리해야 합니다. 화면에서 사라져도 서버에 정보가 남아 있으면 유출 위험도 그대로 남습니다.
회원가입을 유지한다면 무엇을 확인해야 하나요?
이번 처분에서 지적된 항목을 그대로 체크리스트로 쓰시면 됩니다. 원장님이 직접 할 일은 업체에 아래 질문을 하고 답을 문서로 받는 것입니다.
웹방화벽 같은 웹 공격 탐지·차단 장치가 운영되고 있는지
SQL 인젝션 등 웹 취약점 점검을 언제 마지막으로 했는지, 주기적으로 하고 있는지
비밀번호를 안전한 방식으로 암호화해 저장하는지
관리자 페이지 접속을 IP 등으로 제한하고 추가 인증을 쓰는지
회원가입 때 받는 항목 중 서비스에 필요 없는 것(생년월일 등)이 있는지
예전 홈페이지, 이벤트용 페이지처럼 지금은 안 쓰는 서버가 남아 있는지
마지막 항목은 대교 사례에서 관계사 홈페이지가 통로가 됐던 점과 연결됩니다. 리뉴얼하면서 옛 홈페이지를 그대로 두는 경우가 생각보다 많습니다.
홈페이지 회원가입을 마케팅에 쓸 때 조심할 점은?
회원가입을 유도하려고 진료비 할인이나 금품을 거는 방식은 의료법상 환자 유인 소지가 있어 피하는 것이 안전합니다.
회원 수를 늘리려고 "가입 시 시술 할인", "회원 전용 특가" 같은 문구를 쓰는 홈페이지가 있습니다. 의료법 제27조 제3항은 금품 제공 등으로 환자를 유인하는 행위를 금지하고 있어, 가입 혜택이 진료비와 연결되면 문제가 될 수 있습니다. 광고 수신 동의를 회원가입 필수 항목에 묶어 두는 것도 다시 볼 부분입니다.
이번 처분이 보여 주는 방향은 분명합니다. 많이 모으는 것보다 필요한 만큼만 모으고 안전하게 지키는 쪽이 병원에 덜 위험합니다.
오른기획 고객사 원장님 후기
자주 묻는 질문
Q. 홈페이지는 제작 업체가 관리하는데, 유출되면 병원 책임인가요?
A. 개인정보를 수집한 주체는 병원이므로 병원이 책임에서 벗어나기는 어렵습니다. 업체에 맡기더라도 점검 결과를 정기적으로 받아 두시는 것이 좋습니다. 구체적인 책임 범위는 계약 내용에 따라 다를 수 있어 필요하면 전문가 확인을 권합니다.
Q. 회원가입을 없애면 기존 회원 정보는 바로 지워도 되나요?
A. 진료기록처럼 다른 법령으로 보관 의무가 있는 정보와 홈페이지 회원 정보는 구분해야 합니다. 업체와 데이터 범위를 확인한 뒤 파기 절차를 정하시는 것이 순서입니다.
Q. 회원가입이 없으면 홈페이지 문의가 줄지 않을까요?
A. 환자 입장에서는 가입 없이 바로 신청하는 편이 부담이 적을 수 있습니다. 다만 병원마다 문의 경로가 달라 일정 기간 문의 수를 비교해 보고 판단하시길 권합니다.
마무리
이번 영훈의료재단 처분은 병원 홈페이지의 회원가입 기능이 그 자체로 위험이 될 수 있다는 점을 보여 줍니다. 유출 경로는 새로운 공격이 아니라 오래전부터 알려진 취약점이었습니다.
지금 할 일은 세 가지입니다. 회원가입이 꼭 필요한지 기능별로 따져 보고, 유지한다면 업체에 보안 점검 항목을 확인받고, 쓰지 않는 옛 페이지와 회원 데이터를 정리하는 것입니다.
홈페이지는 환자가 병원을 믿고 연락하는 창구입니다. 보이는 디자인만큼 보이지 않는 관리도 신뢰의 일부입니다.
오른기획은 1지역 1진료과 원칙으로 운영합니다. 같은 상권의 같은 진료과 병원을 동시에 맡지 않으며, 계약서에도 이 조항을 두고 있습니다. 우리 병원 홈페이지와 온라인 채널을 함께 점검해 보고 싶으시다면 편하게 문의해 주세요.
※ 출처: 데일리시큐 「대교·영훈의료재단 해킹으로 개인정보 84만여 명 유출…개인정보위, 과징금 총 38억 8,500만 원 부과」(2026.10.29), CBS노컷뉴스 「'개인정보 유출' 대교·영훈의료재단 40억 과징금…"보안 소홀"」(2026.10.29), CBS노컷뉴스 「개인정보위, 130만명 정보 유출 사고 락앤락에 과징금 5억」(2026.7.9). 개인정보보호위원회 2026년 10월 28일 제21회 전체회의 의결 내용 기준.
함께 읽으면 좋은 글
오른기획 오시는 길 및 문의처
문의: help@oreun.net / 050-6739-1033