사회모아

서울대, 6년간 해킹 28차례…개인정보 유출도 잇따라

 서울대학교에서 최근 6년간 28차례의 해킹 피해가 발생한 데 이어, 학생 등 학내 구성원의 개인정보가 대규모로 유출되는 사고도 여러 차례 있었던 것으로 확인됐다. 대학 내에는 개인정보뿐 아니라 연구 자료와 기관 간 협력 정보 등 다양한 중요 정보가 축적돼 있는 만큼, 정보보안 관리 체계를 강화해야 한다는 지적이 나온다. 유출된 개인정보가 다크웹 등을 통해 거래됐을 가능성도 제기되면서 피해 확산 여부에 대한 우려도 커지고 있다.

 

국민일보가 11일 국회 교육위원회 소속 백승아 더불어민주당 의원실을 통해 확보한 ‘정보보안 및 개인정보 사고 현황’ 자료에 따르면, 서울대에서는 2021년부터 현재까지 해킹 피해로 분류된 사고가 총 28차례 발생했다. 이와 별개로 학내 구성원 2000명 이상의 개인정보가 유출된 사고도 있었던 적으로 파악됐다.

 

특히 개인정보 유출 사고 중에는 학생의 학사정보가 무단으로 열람되거나, 주민등록번호와 각종 개인정보가 외부에 노출될 수 있는 사례도 포함됐다. 사고가 발생한 경위와 유출 정보의 종류는 서로 달랐지만, 학내 정보 관리 과정에서 보안상 허점이 드러났다는 점에서 주의가 필요하다는 지적이다.

 

2024년에는 학생들의 아이디와 비밀번호를 탈취한 인물이 학사정보를 무단으로 열람하고 재학증명서 등을 발급받는 일이 발생했다. 서울대가 자체적으로 조사한 결과, 동일한 IP 주소에서 여러 학생의 계정을 이용해 학사정보를 확인한 정황이 발견됐다.

 

이 과정에서 학생 18명의 학번과 이름, 생년월일, 성적, 수강 내역 등이 유출된 것으로 확인됐다. 다만 해당 행위가 한 사람에 의해 이뤄진 것인지, 여러 사람이 관여한 것인지는 밝혀지지 않았다.

 

서울대 측은 이 사건이 외부 시스템 침입으로 발생한 사고는 아니기 때문에 공식적인 해킹 피해로 분류하지 않았다고 설명했다. 그러나 외부에서 학생들의 로그인 정보를 확보한 누군가가 계정을 이용해 정보를 열람한 것으로 판단했다고 밝혔다.

 

서울대 관계자는 외부 침입으로 발생한 사고가 아니어서 해킹으로 분류되지는 않았다고 설명하면서도, 다크웹 등에서 아이디와 비밀번호가 유통되는 것처럼 외부에서 학생의 로그인 정보를 얻은 인물이 범행했을 가능성이 있다고 전했다. 다만 실제로 해당 정보가 다크웹에서 거래됐는지 여부가 확인된 것은 아니다.

 

개인정보가 포함된 문서가 학내에서 잘못 전달된 사례도 있었다. 2022년 11월에는 한 단과대가 교외교육 출석 인정을 위한 협조 공문을 다른 단과대에 보내는 과정에서 첨부 문서에 학부생 82명의 주민등록번호가 포함된 사실이 확인됐다. 해당 공문과 첨부 파일은 교내 관련 교원들의 이메일로 추가 발송되기도 했다.

 

 서울대는 이 사고를 교육부와 개인정보보호위원회에 신고했으며, 개인정보가 유출된 학생들에게 관련 내역과 조치 사항을 안내했다. 이 사례는 외부 해킹뿐 아니라 문서 작성과 전달 과정에서도 개인정보가 노출될 수 있다는 점을 보여준다.

 

지난해 12월 17일에는 2024학년도 신입생 모집을 위해 한시적으로 운영한 온라인 설문조사에서도 개인정보 유출 사고가 발생했다. 당시 설문조사는 링크를 보유한 사람이 응답자의 정보를 열람할 수 있도록 설정돼 있었던 것으로 드러났다.

 

이로 인해 학생 1046명의 성명과 성별, 학번, 이메일 주소 등을 포함한 총 15가지 개인정보가 노출됐다. 설문조사 링크의 접근 권한을 적절하게 관리하지 못하면서 다수 학생의 정보가 외부에 공개될 수 있는 상황이 발생한 것이다.

 

서울대 측은 개인정보 유출 사고가 발생하면 관련 법령과 지침에 따라 교육부 등에 신고하는 등 필요한 조치를 진행했다고 밝혔다. 다만 지금까지 해당 사고와 관련해 수사기관에 수사를 의뢰한 적은 없다고 설명했다.

 

전문가들은 대학이 개인정보 유출과 정보보안 사고에 취약해질 수 있는 여러 조건을 갖추고 있다고 지적한다. 대학에는 학생과 교직원 등 다양한 구성원이 있으며, 학사정보 외에도 연구 자료와 국가 프로젝트 관련 정보, 외부 기관과의 협업 자료 등이 축적돼 있다. 이 때문에 공격자가 대학을 대상으로 정보를 수집할 경우 단순한 개인정보 유출을 넘어 연구 활동이나 기관 간 협력 관계까지 파악할 가능성이 있다는 것이다.

 

황석진 동국대 정보보호대학원 교수는 이메일 등의 정보만으로도 연구 활동과 기관 간 협력 관계, 주요 인물의 동향을 파악할 수 있다고 설명했다. 이어 공격자가 특정 대학의 정보를 수집한 목적이 무엇인지, 확보한 정보를 어떤 방식으로 활용했는지를 규명하는 과정이 중요하다고 강조했다.

 

황 교수는 대학이 교육기관이라는 특성상 보안사고를 내부 교육이나 징계 중심으로 처리했을 가능성도 있다고 언급했다. 그러나 계정 도용이 개인정보 유출이나 추가 피해로 이어질 수 있는 만큼, 사고의 심각성에 따라 수사기관과 협력할 필요가 있다고 덧붙였다.

 

이번 사례들은 정보보안 사고가 반드시 외부 해킹으로만 발생하는 것은 아니라는 점도 보여준다. 계정 정보 도용과 문서 첨부 실수, 온라인 설문조사의 접근 권한 설정 오류 등 다양한 경로로 개인정보가 노출될 수 있기 때문이다. 이에 따라 대학은 외부 공격을 막는 기술적 대응뿐 아니라 계정 관리와 문서 취급, 온라인 시스템 접근 권한 등에 대한 점검도 강화할 필요가 있다.

 

 서울대에서 여러 유형의 정보보안 및 개인정보 유출 사고가 확인되면서 학내 정보 관리 체계 전반을 점검해야 한다는 목소리가 나온다. 특히 유출된 정보가 추가 범죄에 악용됐는지 확인하고, 사고의 원인과 책임 소재를 명확히 하는 작업이 중요하다는 지적이다. 대학의 연구 정보와 구성원의 개인정보를 보호하기 위해서는 사고 발생 이후의 신고와 안내를 넘어 예방 체계와 후속 대응 절차를 함께 강화해야 할 것으로 보인다.

 

쿠팡 산재 은폐 의혹…김범석 형사책임은 공소시효 만료

 고용노동부가 쿠팡 근로자 고 장덕준 씨의 산업재해 은폐 의혹을 조사하는 과정에서 김범석 쿠팡Inc 의장의 부적절한 지시가 있었다는 사실을 확인했다고 밝혔다. 다만 관련 혐의의 공소시효가 지나 김 의장에게 형사책임을 묻기는 어렵다고 판단했다. 쿠팡과 주요 물류 계열사를 대상으로 진행한 기획 감독에서는 산업안전보건법과 근로기준법 위반 사항 206건이 적발됐다. 노동부는 이 가운데 61건을 사법처리하고 나머지 145건에 대해서는 약 19억6000만원의 과태료를 부과할 방침이다.노동부는 22일 쿠팡과 쿠팡풀필먼트서비스(CFS), 쿠팡로지스틱스서비스(CLS)의 물류센터와 배송캠프 등 105곳을 대상으로 진행한 기획 감독 결과를 발표했다. 이번 조사에서는 산업재해 은폐 의혹을 비롯해 산업안전 관리 실태, 불법파견 여부, 저성과자 퇴출프로그램 운영, 블랙리스트 작성 의혹 등 노동관계법과 관련한 여러 사안을 살펴봤다. 조사 결과 일부 법 위반 사항이 확인됐지만 불법파견과 블랙리스트 작성 의혹에 대해서는 법 위반으로 판단할 만한 사실이 확인되지 않았다.이번 조사에서 주요 쟁점으로 떠오른 것은 2020년 발생한 장덕준 씨 사망 사건이다. 장씨는 2020년 10월 경북 칠곡군에 있는 쿠팡 물류센터에서 심야 근무를 마치고 귀가한 뒤 자택에서 급성심근경색으로 숨졌다. 이후 장씨의 사망과 업무 사이의 관련성을 축소하려 했다는 산업재해 은폐 의혹이 제기됐다. 노동부는 수사 과정에서 김 의장이 쿠팡 관계자에게 장씨가 열심히 일했다는 기록이 남지 않도록 하라는 취지의 지시를 한 사실을 확인했다고 밝혔다. 노동부 조사에 따르면 쿠팡 관계자는 폐쇄회로TV(CCTV) 영상을 분석해 물을 마시거나 화장실을 이용하는 등의 행동을 분류하고, 장씨가 쉬는 장면만 포함되도록 자료를 정리한 정황도 파악됐다.다만 노동부는 김 의장의 형사책임을 묻기는 어렵다고 판단했다. 관련 혐의에 적용되는 공소시효 5년이 이미 지났다는 이유에서다. 이에 따라 노동부는 해당 사안을 공소청에 불기소 의견으로 송치하기로 했다. 부적절한 지시가 있었다는 조사 결과와 별개로, 공소시효가 만료돼 형사처벌 절차를 진행하기 어렵다는 설명이다.산업안전보건법상 산업재해 은폐죄를 적용하는 데에도 한계가 있다고 봤다. 산재 은폐죄가 성립하려면 산업재해 발생 사실을 감독 당국에 보고하지 않는 데 그치지 않고, 외부에 알려지지 않도록 적극적으로 방해한 행위가 인정돼야 한다는 것이다.노동부 관계자는 “이번 사건에서는 중대재해 발생 보고가 있었고, 근로복지공단 산재 승인 과정에서 직접적인 방해 행위도 확인되지 않았다”며 “산안법상 산재 은폐죄로 의율하기 쉽지 않다”고 말했다. 관련 자료를 정리한 정황을 확인했지만, 산업안전보건법상 산재 은폐죄의 구성 요건을 충족한다고 보기는 어렵다는 취지다.이와 별개로 노동부는 산재요양 신청을 취하하도록 하고 산업재해 조사표를 제출하지 않은 사례 2건을 범죄로 인지해 수사에 착수했다. 조사 과정에서는 쿠팡 측이 유가족에게 합의금을 지급하고 관리자와 면담하는 방식으로 산재요양 신청을 취하하도록 한 것으로 파악됐다. 노동부는 해당 사안에 대해서는 별도의 수사를 통해 구체적인 사실관계를 확인할 방침이다.산업재해 조사표를 제출하지 않거나 늦게 제출한 사례도 적발됐다. 노동부는 관련 사례 25건을 확인해 과태료 약 1억7000만원을 부과할 예정이다. 현행 규정에 따르면 사업주는 근로자가 3일 이상 휴업해야 하는 부상이나 질병을 입은 경우 한 달 이내에 관할 노동관서에 산업재해 조사표를 제출해야 한다.산업안전 관리 분야에서도 다수의 위반 사항이 확인됐다. 노동부는 산업안전보건법 위반 사례 178건을 적발했으며, 이 중 컨베이어 방호조치를 하지 않거나 지게차와 노동자의 접촉을 방지하기 위한 안전조치를 제대로 이행하지 않은 사례 등 59건을 범죄로 인지해 수사할 계획이다.서울중앙지법 부동식 영장전담 부장판사는 22일 오후 3시부터 현존건조물방화치상 혐의를 받는 70대 남성 이씨의 구속 전 피의자 심문(영장실질심사)을 진행하고 구속영장을 발부했다.법원은 “도망할 염려가 있다”라고 사유를 설명했다.이씨는 지난 20일 오전 11시 54분께 신명빌딩 3층과 오후 12시 1분께 한양빌딩 4층에 잇따라 불을 질러 19명을 다치게 한 혐의를 받는다.불이 난 곳은 모두 특허법인 사무실로, 이씨는 해당 특허법인이 자신의 특허 등록 과정에서 사기를 쳤다고 의심해 앙심을 품고 범행에 나선 것으로 밝혀졌다.이씨는 체포 직후 경찰서로 압송되며 “특허 법무법인에서 사기를 쳤다”고 주장했고 당일 진행된 1차 피의자 조사에서도 “”그들(특허 법인 관계자)에게 겁을 주고 이 일을 세상에 알리고 싶었다“고 진술했다.서울 수서경찰서는 지난 21일 구속영장을 신청하면서 이씨가 범행 당일에 맞춰 집 계약 종료를 통보한 점과 출소한 지 얼마 안된 점 등을 고려해 주거지가 불분명하고 도주 우려가 있다고 적시했다. 또 범행 도구를 모두 버린 점을 들어 증거인멸 우려도 있다고도 밝혔다.이날 오후 1시 40분께 영장실질심사 출석을 위해 서울 수서경찰서 청사에서 나온 이씨는 ‘죽이려고 했냐’는 취재진 질문에 ”겁주려고 했다“고 답했다.이어 오후 2시 7분께 법원 청사에 모습을 드러낸 이씨는 특허법인이 속인 게 무엇이냐고 묻는 취재진에 자신이 가져온 종이를 보이며 ”이걸 잘 보라“고 말했다. 또 ‘피해자들에게 할 말 없는지’에 대해선 ”미안은 하다“고 했다. 등에 대한 특수건강진단을 실시하지 않은 사례와 휴게시설 설치·관리 상태가 미흡한 사례 등 119건에는 약 17억8000만원의 과태료를 부과하기로 했다. 노동자의 건강을 보호하기 위한 검사와 휴식 환경 관리가 제대로 이뤄지지 않은 사례가 확인된 것이다. 계열사별 과태료 규모는 쿠팡이 약 3000만원, 쿠팡CFS가 약 12억9000만원, 쿠팡CLS가 약 6억3000만원으로 집계됐다. 물류센터 운영과 배송 업무 등을 담당하는 계열사에서 상당한 규모의 과태료 부과 대상이 확인되면서 사업장별 안전관리 체계를 개선할 필요성도 제기됐다.반면 쿠팡CLS 소속 배송기사와 관련한 불법파견 의혹에서는 위법 사항이 확인되지 않았다. 쿠팡CLS는 대리점 소속 배송기사인 퀵플렉서에게 실시간으로 업무를 지시한다는 의혹을 받아왔다. 노동부는 원청의 지휘·명령 여부와 배송 업무가 각 사업에 실질적으로 편입돼 있는지 등을 중심으로 판단했다.노동부 관계자는 “쿠팡과 쿠팡CLS는 각자 소속 노동자에게 노선 배정과 업무 배치 등 지휘·명령을 하고 있다”며 “각사의 배송 상품이 명확히 나뉘어 있는 등 쿠팡이 쿠팡CLS 사업에 실질적으로 편입돼 있다고 보기 어려워 불법파견은 인정되지 않았다”고 설명했다. 노동부는 향후 유사한 논란이 발생하지 않도록 관리자 교육 등 필요한 조치를 지도할 방침이다.저성과자 퇴출프로그램(PIP)과 관련해서는 프로그램이 운영된 사실은 확인됐지만, 해고 제한 규정을 위반했다고 판단할 만한 사례는 확인되지 않았다. 쿠팡은 업무성과가 낮은 노동자 등을 프로그램에 참여시킨 뒤 수행하기 어려운 과제를 부여해 사실상 퇴출을 유도했다는 의혹을 받아왔다.그러나 노동부는 프로그램 참여가 실제 해고로 이어진 사례를 확인하지 못했다고 밝혔다. 다만 전체 노동자에게 적용되는 PIP의 주요 내용을 취업규칙에 기재하지 않은 점은 문제로 판단했다. 이에 따라 관련 내용을 시정하도록 지시하고 과태료 70만원을 부과했다.블랙리스트 작성 의혹에 대해서도 법 위반을 인정하지 않았다. 노동부는 쿠팡이 일부 퇴사자의 명단인 ‘심사숙고 고려대상자 리스트’를 작성해 자사 재채용을 위한 참고자료로 활용한 사실을 확인했다. 하지만 다른 기업에 취업하는 것을 방해할 목적으로 명단을 외부에 공유한 정황은 드러나지 않았다고 밝혔다.노동부 관계자는 “명단을 타사에 취업하는 걸 방해할 목적으로 활용하면 근로기준법 위반이지만, 자사 채용에만 썼을 때는 근로기준법 의율을 못 한다는 다수 전문가의 자문을 받았다”고 설명했다. 명단 작성 사실만으로는 근로기준법 위반을 인정하기 어렵다는 판단이다.노동부는 쿠팡뿐 아니라 다른 물류센터에서도 노동관계법 위반 사례가 다수 확인된 만큼 업계 전반에 대한 지도와 감독을 이어갈 계획이다. 김영훈 노동부 장관은 “쿠팡은 이번 감독을 계기로 다수의 법 위반 행위가 재발하지 않도록 철저히 조치해야 한다”며 “노동자의 생명과 건강을 존중하는 경영 방침을 확립해 국민 신뢰를 얻어야 한다”고 밝혔다.쿠팡은 노동부의 감독 결과에 대해 개선이 필요한 사항을 적극적으로 조치하겠다는 입장을 내놨다. 쿠팡은 “이번 고용노동부 근로감독 결과에 따라 개선이 필요한 사항들에 대해서는 적극적으로 조치를 취할 것”이라며 “아울러 필요한 사안들은 충실히 소명해가도록 하겠다”고 말했다.다만 김 의장의 부적절한 지시가 확인됐다는 노동부 발표에 대해서는 유감을 표했다. 쿠팡은 “유가족께 다시 한번 깊은 애도의 뜻을 전한다”면서도 “비위행위로 해고되고 소송에서 패소한 전직 임원의 일방적 주장이며, 관련 수사에서 사실로 확인되지 않았음에도 부적절한 지시가 사실로 확인된 것처럼 발표된 것은 유감스럽게 생각한다”고 밝혔다.이번 근로감독에서는 산재 은폐 의혹과 관련한 지시 정황이 확인됐지만, 공소시효 만료와 산재 은폐죄의 법적 요건 등을 이유로 형사책임을 묻기 어렵다는 판단이 나왔다. 동시에 물류센터와 배송캠프 전반에서 산업안전 관리와 노동관계법 위반 사례가 확인됐다. 노동부가 후속 수사와 시정 조치를 진행할 예정인 가운데, 쿠팡은 개선 조치와 함께 관련 사안에 대한 소명을 이어가겠다는 입장이다.