국내 학술단체 6곳 회원 개인정보 대규모 유출…홈페이지 유지보수 위탁업체 해킹이 원인

핵심 요약

국내 주요 학술단체 6곳의 회원 개인정보가 외부 해킹으로 대규모 유출됐다. 피해 학술단체들은 지난 8일 공식 홈페이지를 통해 일제히 사과문을 게재하고 유출 사실을 공지했다. 수사 및 조사 결과, 이번 침해사고의 진원지는 학술단체들의 홈페이지 유지보수를 위탁받은 외주 업체 '㈜크릭인텍'의 데이터 시스템으로 지목되고 있다.

---

주요 내용

피해 학술단체 현황

이번 침해사고 피해를 공식 확인한 학술단체는 다음과 같다.

• 대한건축학회
• 전력전자학회
• 한국도시설계학회
• 한국소음진동공학회
• 한국실내디자인학회
• 한국자기학회

6개 단체는 지난 7일 외부 침입에 의한 비정상 접근을 포착한 뒤, 긴급 보안 조치와 법적 대응에 착수했으며 이튿날인 8일 각 공식 홈페이지를 통해 피해 사실을 회원들에게 알렸다.

유출된 개인정보 항목

이번 사고로 유출이 확인된 개인정보 항목은 다음과 같다.

• 성명, 아이디, 생년월일
• 휴대전화번호, 이메일 주소
• 우편물 수령지 주소
• 은행 계좌번호
• 비밀번호(일방향 암호화 처리 상태로 유출)

비밀번호는 일방향 암호화(해시) 처리가 적용되어 있어 즉각적인 악용 가능성은 상대적으로 낮다. 주민등록번호는 해당 학회들이 애초에 수집하지 않아 유출 대상에 포함되지 않은 것으로 확인됐다. 다만 계좌번호 등 금융 관련 정보가 포함된 만큼 2차 피해 가능성을 배제할 수 없는 상황이다.

위탁업체 해킹이 연쇄 침해로 이어져

피해 학술단체 중 한국실내디자인학회는 별도 공지를 통해, 자사 홈페이지 유지보수를 위탁한 ㈜크릭인텍의 데이터 시스템이 7일 해킹을 당했으며, 이튿날 유출 사실을 전달받았다고 밝혔다. 학술단체 자체 시스템이 아닌, 외주 관리업체의 망이 뚫리면서 발생한 공급망 침해(Supply Chain Attack) 형태의 사고인 셈이다.

업체명을 공식 언급하지 않은 나머지 5개 학술단체 역시 침해 일시, 유출 항목, 공지 양식과 문구가 사실상 동일하다는 점에서 같은 위탁업체를 통한 연쇄 피해일 가능성이 높다. 한국실내디자인학회의 개인정보 처리방침에는 ㈜크릭인텍이 '학회 홈페이지 유지보수' 업무 수탁업체로 명시되어 있다. 현재까지 ㈜크릭인텍의 공식 입장과 구체적인 회사 현황은 확인되지 않고 있다.

---

전문가 분석

이번 사고는 수탁업체의 보안 취약점이 다수 위탁기관의 개인정보 침해로 이어지는 위탁 관리 리스크의 전형적인 사례로 평가된다.

개인정보보호법상 신고 의무 측면에서, 개인정보보호법 제34조는 개인정보 유출 사실을 알게 된 때로부터 72시간 이내에 피해자(정보주체)에게 통지하고, 1,000명 이상의 정보주체 개인정보가 유출된 경우에는 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 신고할 의무를 부과한다. 6개 학술단체가 사고 인지 다음날 일제히 공지를 게재한 것은 이 의무 규정에 따른 조치로 보인다.

수탁업체 관리·감독 의무 측면에서도 문제가 제기된다. 개인정보보호법 제26조는 개인정보 처리를 위탁하는 경우 위탁자가 수탁자의 개인정보 처리 현황을 정기적으로 점검하도록 규정하고 있다. 학술단체들이 위탁업체의 보안 수준을 충분히 점검했는지 여부가 향후 법적 책임 판단의 핵심 쟁점이 될 수 있다.

재발 방지를 위해서는 ▲위탁업체에 대한 정기적인 보안 감사 실시 ▲수탁업체 접근 권한 최소화 및 모니터링 강화 ▲계좌번호 등 민감 금융정보의 암호화 저장 또는 수집 최소화 ▲침해사고 대응 매뉴얼(IR 플랜) 사전 수립 등이 필요하다는 지적이다.

피해를 입은 회원들은 계좌번호 등 금융정보 유출 가능성에 대비해 금융기관에 비정상 거래 모니터링 강화를 요청하고, 동일 비밀번호를 사용하는 타 서비스의 비밀번호를 즉시 변경할 것이 권고된다. 개인정보 침해 관련 상담 및 신고는 한국인터넷진흥원 개인정보 침해신고센터(국번 없이 118, privacy.kisa.or.kr)를 통해 접수할 수 있다.