사회모아

서울대, 6년간 해킹 28차례…개인정보 유출도 잇따라

 서울대학교에서 최근 6년간 28차례의 해킹 피해가 발생한 데 이어, 학생 등 학내 구성원의 개인정보가 대규모로 유출되는 사고도 여러 차례 있었던 것으로 확인됐다. 대학 내에는 개인정보뿐 아니라 연구 자료와 기관 간 협력 정보 등 다양한 중요 정보가 축적돼 있는 만큼, 정보보안 관리 체계를 강화해야 한다는 지적이 나온다. 유출된 개인정보가 다크웹 등을 통해 거래됐을 가능성도 제기되면서 피해 확산 여부에 대한 우려도 커지고 있다.

 

국민일보가 11일 국회 교육위원회 소속 백승아 더불어민주당 의원실을 통해 확보한 ‘정보보안 및 개인정보 사고 현황’ 자료에 따르면, 서울대에서는 2021년부터 현재까지 해킹 피해로 분류된 사고가 총 28차례 발생했다. 이와 별개로 학내 구성원 2000명 이상의 개인정보가 유출된 사고도 있었던 적으로 파악됐다.

 

특히 개인정보 유출 사고 중에는 학생의 학사정보가 무단으로 열람되거나, 주민등록번호와 각종 개인정보가 외부에 노출될 수 있는 사례도 포함됐다. 사고가 발생한 경위와 유출 정보의 종류는 서로 달랐지만, 학내 정보 관리 과정에서 보안상 허점이 드러났다는 점에서 주의가 필요하다는 지적이다.

 

2024년에는 학생들의 아이디와 비밀번호를 탈취한 인물이 학사정보를 무단으로 열람하고 재학증명서 등을 발급받는 일이 발생했다. 서울대가 자체적으로 조사한 결과, 동일한 IP 주소에서 여러 학생의 계정을 이용해 학사정보를 확인한 정황이 발견됐다.

 

이 과정에서 학생 18명의 학번과 이름, 생년월일, 성적, 수강 내역 등이 유출된 것으로 확인됐다. 다만 해당 행위가 한 사람에 의해 이뤄진 것인지, 여러 사람이 관여한 것인지는 밝혀지지 않았다.

 

서울대 측은 이 사건이 외부 시스템 침입으로 발생한 사고는 아니기 때문에 공식적인 해킹 피해로 분류하지 않았다고 설명했다. 그러나 외부에서 학생들의 로그인 정보를 확보한 누군가가 계정을 이용해 정보를 열람한 것으로 판단했다고 밝혔다.

 

서울대 관계자는 외부 침입으로 발생한 사고가 아니어서 해킹으로 분류되지는 않았다고 설명하면서도, 다크웹 등에서 아이디와 비밀번호가 유통되는 것처럼 외부에서 학생의 로그인 정보를 얻은 인물이 범행했을 가능성이 있다고 전했다. 다만 실제로 해당 정보가 다크웹에서 거래됐는지 여부가 확인된 것은 아니다.

 

개인정보가 포함된 문서가 학내에서 잘못 전달된 사례도 있었다. 2022년 11월에는 한 단과대가 교외교육 출석 인정을 위한 협조 공문을 다른 단과대에 보내는 과정에서 첨부 문서에 학부생 82명의 주민등록번호가 포함된 사실이 확인됐다. 해당 공문과 첨부 파일은 교내 관련 교원들의 이메일로 추가 발송되기도 했다.

 

 서울대는 이 사고를 교육부와 개인정보보호위원회에 신고했으며, 개인정보가 유출된 학생들에게 관련 내역과 조치 사항을 안내했다. 이 사례는 외부 해킹뿐 아니라 문서 작성과 전달 과정에서도 개인정보가 노출될 수 있다는 점을 보여준다.

 

지난해 12월 17일에는 2024학년도 신입생 모집을 위해 한시적으로 운영한 온라인 설문조사에서도 개인정보 유출 사고가 발생했다. 당시 설문조사는 링크를 보유한 사람이 응답자의 정보를 열람할 수 있도록 설정돼 있었던 것으로 드러났다.

 

이로 인해 학생 1046명의 성명과 성별, 학번, 이메일 주소 등을 포함한 총 15가지 개인정보가 노출됐다. 설문조사 링크의 접근 권한을 적절하게 관리하지 못하면서 다수 학생의 정보가 외부에 공개될 수 있는 상황이 발생한 것이다.

 

서울대 측은 개인정보 유출 사고가 발생하면 관련 법령과 지침에 따라 교육부 등에 신고하는 등 필요한 조치를 진행했다고 밝혔다. 다만 지금까지 해당 사고와 관련해 수사기관에 수사를 의뢰한 적은 없다고 설명했다.

 

전문가들은 대학이 개인정보 유출과 정보보안 사고에 취약해질 수 있는 여러 조건을 갖추고 있다고 지적한다. 대학에는 학생과 교직원 등 다양한 구성원이 있으며, 학사정보 외에도 연구 자료와 국가 프로젝트 관련 정보, 외부 기관과의 협업 자료 등이 축적돼 있다. 이 때문에 공격자가 대학을 대상으로 정보를 수집할 경우 단순한 개인정보 유출을 넘어 연구 활동이나 기관 간 협력 관계까지 파악할 가능성이 있다는 것이다.

 

황석진 동국대 정보보호대학원 교수는 이메일 등의 정보만으로도 연구 활동과 기관 간 협력 관계, 주요 인물의 동향을 파악할 수 있다고 설명했다. 이어 공격자가 특정 대학의 정보를 수집한 목적이 무엇인지, 확보한 정보를 어떤 방식으로 활용했는지를 규명하는 과정이 중요하다고 강조했다.

 

황 교수는 대학이 교육기관이라는 특성상 보안사고를 내부 교육이나 징계 중심으로 처리했을 가능성도 있다고 언급했다. 그러나 계정 도용이 개인정보 유출이나 추가 피해로 이어질 수 있는 만큼, 사고의 심각성에 따라 수사기관과 협력할 필요가 있다고 덧붙였다.

 

이번 사례들은 정보보안 사고가 반드시 외부 해킹으로만 발생하는 것은 아니라는 점도 보여준다. 계정 정보 도용과 문서 첨부 실수, 온라인 설문조사의 접근 권한 설정 오류 등 다양한 경로로 개인정보가 노출될 수 있기 때문이다. 이에 따라 대학은 외부 공격을 막는 기술적 대응뿐 아니라 계정 관리와 문서 취급, 온라인 시스템 접근 권한 등에 대한 점검도 강화할 필요가 있다.

 

 서울대에서 여러 유형의 정보보안 및 개인정보 유출 사고가 확인되면서 학내 정보 관리 체계 전반을 점검해야 한다는 목소리가 나온다. 특히 유출된 정보가 추가 범죄에 악용됐는지 확인하고, 사고의 원인과 책임 소재를 명확히 하는 작업이 중요하다는 지적이다. 대학의 연구 정보와 구성원의 개인정보를 보호하기 위해서는 사고 발생 이후의 신고와 안내를 넘어 예방 체계와 후속 대응 절차를 함께 강화해야 할 것으로 보인다.

 

인천 상가 흉기 난동에 8명 부상

 인천의 한 복합 상가 건물에서 50대 남성이 흉기를 휘둘러 이용객 8명이 다치는 사건이 발생했다. 부상자 가운데 20대 여성 1명은 심정지 상태로 병원에 이송됐다. 용의자는 현장에 있던 상인과 이용객들에게 제압된 뒤 경찰에 넘겨졌다. 특히 용의자가 과거 살인미수 혐의로 징역형을 선고받고 전자발찌를 착용한 상태였던 것으로 파악되면서 전자감독 대상자 관리 체계에 대한 점검 필요성도 제기됐다.인천 남동경찰서는 13일 흉기 난동을 벌여 상가 이용객 8명을 다치게 한 혐의로 50대 남성 A씨를 체포해 조사하고 있다고 밝혔다. 경찰에 따르면 A씨는 이날 오후 1시 40분쯤 인천시 남동구 구월동의 한 복합 상가 건물에서 흉기를 휘둘렀다. 부상자들은 건물 곳곳에서 발견됐다. 2층에 있던 20대 여성 B씨는 심정지 상태로 병원에 이송됐다. 지하 1층에서는 40대 여성 1명이 다쳤으며, 2층에서는 30대 남성을 포함한 5명이 부상을 입었다. 3층에서도 50대 여성 1명이 등과 어깨 부위 등을 찔려 병원으로 옮겨졌다. 피해자들은 대부분 점심 식사를 하던 중 갑작스럽게 공격을 당한 것으로 알려졌다.A씨는 건물 지상 1층에서 엘리베이터를 이용해 식당들이 모여 있는 2층으로 올라간 뒤 에스컬레이터를 따라 이동하면서 흉기를 휘두른 것으로 파악됐다. 현장에 있던 상인과 이용객들이 A씨의 범행을 막기 위해 나섰고, 이 과정에서 A씨는 제압됐다. 목격자들은 A씨가 양손에 흉기를 묶은 듯한 상태로 이동하면서 마주치는 사람들을 공격했다고 전했다.최초 신고자로 알려진 30대 나모씨는 당시 상황에 대해 “키 165㎝ 정도 되는 50대로 보이는 남성이 이동하면서 보이는 사람을 향해 흉기로 찌르려 했다”며 “흉기를 양손에 묶고 범행했다”고 설명했다. 나씨는 다른 남성 2명과 함께 의자를 이용해 A씨를 제압한 뒤 현장에 출동한 경찰에 인계한 것으로 전해졌다.A씨는 이용객들이 범행을 저지하자 다른 공격 대상을 찾으려 했으며, 인근 가게와 여자 화장실 방향으로 이동하기도 한 것으로 알려졌다. 나씨는 “A씨가 특별히 소리를 지르며 위협하거나 하진 않고 아무 말 없이 범행했다”고 말했다. 갑작스럽게 벌어진 공격에 상가 이용객들은 긴급히 대피했고, 현장에는 경찰과 소방 관계자들이 출동해 부상자 구조와 사건 수습에 나섰다.경찰 조사 과정에서는 A씨의 과거 범죄 이력과 전자감독 대상자였다는 사실도 확인됐다. A씨는 과거 살인미수 혐의로 징역 4년을 선고받고 복역한 것으로 전해졌다. 2015년 2월 25일 인천 자택에서 재결합을 거부한다는 이유로 40대 전처를 흉기로 찔러 살해하려 한 혐의로 기소된 사건이다. 당시 재판부는 A씨에게 다수의 폭력 범죄 전력이 있다는 점 등을 고려해 출소 후 10년간 전자발찌를 부착하도록 명령했다.A씨는 앞서 2005년 살인미수 혐의로, 2008년에는 폭력행위 등 처벌에 관한 법률 위반 혐의로 각각 징역형의 집행유예를 선고받은 전력이 있는 것으로 알려졌다. 이후 복역을 마친 A씨는 2029년 2월까지 전자발찌 부착 대상이었으며, 매일 자정부터 오전 6시까지 주거지 밖으로 나가지 않아야 하는 준수 사항도 적용받았다.그러나 A씨는 전자발찌를 착용하던 2021년 1월부터 5월 사이 외출 제한 시간을 네 차례 위반해 무단으로 주거지를 벗어난 혐의로 재판에 넘겨졌다. 이 사건과 관련해 2022년 벌금 300만원을 선고받은 것으로 전해졌다. 이번 흉기 난동 당시에도 A씨는 전자발찌를 착용하고 있었던 것으로 파악됐다.A씨는 최근에도 흉기 소지 혐의로 경찰에 입건된 이력이 있었다. 지난달 인천 계양구의 한 병원 앞에서 1인 시위를 하면서 흉기를 소지한 혐의다. A씨는 해당 병원에서 치료받은 무좀 증상이 나아지지 않았다는 이유로 시위를 벌인 것으로 알려졌다. 법무부는 이 사건과 관련해 A씨가 흉기를 이용해 푯말에 구멍을 뚫는 행위를 했다고 설명했다.법무부는 이날 입장문을 내고 전자감독 대상자의 흉기 난동으로 시민들에게 피해가 발생한 데 대해 사과했다. 법무부는 “전자감독 대상자의 흉기 난동 사건으로 국민 여러분께 큰 심려를 끼쳐드린 점에 대해 깊이 사과드린다”며 “전자감독 지도감독 체계를 전면 재점검하고, 필요한 제도 개선과 보완 대책을 신속히 마련하겠다”고 밝혔다. 법무부에 따르면 A씨는 2019년 전자감독이 시작된 이후 지도·감독에 순응하면서 정신과 치료를 지속적으로 받아왔다. 이후 재범 등은 없었던 것으로 파악됐지만, 최근 갈등이 있었던 병원 앞에서 1인 시위를 벌이는 과정에서 흉기를 소지한 혐의로 입건됐다. 법무부는 A씨가 정신질환 증상 완화를 위한 상담도 받고 있었다고 설명했다.범행 당일 A씨의 행적과 관련해서는 오전에 외부 전문가와 중독 상담을 진행했고, 보호관찰관으로부터 정신질환 치료약을 복용한 사실을 확인받은 것으로 전해졌다. A씨는 이날 오전 10시쯤 상담을 받은 뒤 보호관찰관과 점심 식사를 함께했으며, 낮 12시 30분쯤까지 보호관찰관과 함께 있었던 것으로 파악됐다. 이후 약 1시간여 만에 상가에서 흉기 난동을 벌인 것이다.김종철 경찰청장 직무대행은 이날 오후 사건 현장을 찾아 피해 상황을 살펴본 뒤 정확한 범행 동기와 사건 경위를 신속하고 철저하게 규명하라고 지시했다. 김 대행은 “이번 사건으로 큰 피해를 본 시민들께 위로의 말씀과 함께 조속한 회복을 기원한다”며 “위험을 무릅쓰고 용감하게 피의자 제압해 준 시민들께도 감사하다”고 밝혔다.경찰은 다중이용시설을 중심으로 순찰을 강화하고 온라인상 관련 동향을 살펴 추가 피해와 모방 범죄를 예방할 방침이다. 김 대행은 가시적인 순찰과 사이버 모니터링을 통해 2차 피해를 막는 데 힘쓰겠다고 설명했다. 또한 사건 피해자들에게 전담 경찰관을 일대일로 연결하고 법률·심리·경제적 지원을 제공해 일상으로 복귀할 수 있도록 돕겠다고 밝혔다.경찰은 A씨와 상가 이용객 등을 상대로 구체적인 범행 경위와 동기를 조사하고 있다. 이번 사건으로 다수의 시민이 다친 가운데, 전자감독 대상자의 관리와 감독이 적절하게 이뤄졌는지, 위험 징후가 사전에 확인됐는지에 대해서도 관심이 쏠리고 있다. 법무부가 전자감독 체계를 전면 재점검하겠다고 밝힌 만큼, 향후 조사 결과와 제도 개선 방안이 주목된다.