韩国两大学因学生信息泄漏被罚10亿韩元

2024年7月28日至29日，黑客利用SQL注入和参数篡改攻击，侵入全北大学学籍行政信息系统，窃取了约32万人的个人信息，其中包括28万余条居民登记号码。

• SQL注入攻击是通过恶意操作数据库命令，使服务器异常运行，从而访问或篡改无权限信息的攻击方式。

• 参数篡改攻击则是利用网页应用程序输入数据验证漏洞，通过修改输入参数窃取个人信息的黑客技术。

调查显示，黑客先通过该系统的“找回密码”页面漏洞获取学号信息，随后在学籍信息查询页面进行了约90万次参数篡改和随机尝试，访问了32万余名学生及终身教育院会员的个人信息。该漏洞自2010年12月系统建设时即存在。

此外，发现全北大学从1997年至2001年收集的233条居民登记号码，在2014年8月7日个人信息收集法律实施后仍未销毁，违反了相关规定。

虽然全北大学配备了基本的安全设备，但对外部攻击的响应不足，尤其是工作时间外对异常流量的监控疏忽，导致在2024年7月29日下午才发现周末夜间的异常流量激增。

因此，个人信息委员会对全北大学处以6.23亿韩元罚款和540万韩元滞纳金，要求其在校官网公开处罚信息，强化漏洞检测（如模拟黑客攻击），建立常态化监控系统，并建议对相关责任人进行纪律处分。