투데이e코노믹 = 우혜정 기자 | 서강대학교에서 재학생과 졸업생, 교직원 등의 개인정보 약 18만 건이 유출되는 사고가 발생했다. 수십 년 전 졸업생과 자퇴생 등의 정보까지 유출 대상에 포함된 것으로 나타나면서 대학의 개인정보 보관·관리 체계를 둘러싼 논란도 커지고 있다.

17일 서강대 등에 따르면 지난 11일 해외 비인가 인터넷주소(IP)를 통한 외부 공격으로 학교 통합 로그인 계정 정보가 유출됐다. 학교 측은 아이디와 비밀번호 조합을 무작위로 대입하는 방식의 공격이 이뤄진 것으로 파악하고 있다.

유출된 정보에는 학번·사번과 성명, 소속, 이메일 주소, 휴대전화 번호, 암호화된 통합 비밀번호 등이 포함됐다. 다만 주민등록번호 등 고유식별정보와 금융계좌 정보 등은 유출되지 않은 것으로 파악됐다.

문제는 공격이 발생한 뒤 이를 탐지하기까지 사흘가량이 걸렸다는 점이다. 공격은 지난 11일 발생했지만 서강대가 이상 징후를 탐지하고 차단 조치에 나선 것은 14일이었다. 학교 측은 공격에 이용된 IP와 서버 네트워크를 차단하고 서비스 접근 제한 등 긴급 조치를 취한 뒤 개인정보보호위원회와 교육부에 사고 사실을 신고했다.

경찰도 조사에 나섰다. 서울경찰청 사이버수사과는 지난 15일 이번 사고와 관련해 입건 전 조사에 착수했다. 경찰은 외부 공격이 어떤 경로로 이뤄졌는지와 정확한 개인정보 유출 규모 등을 확인할 방침이다.

특히 이번 사고에서는 현재 학교에 재학하거나 근무하는 구성원뿐 아니라 졸업생과 자퇴생 등 과거 학교에 몸담았던 이들의 정보까지 유출된 것으로 알려지면서 개인정보를 장기간 보관하는 대학의 관행이 도마 위에 올랐다.

서강대 전자공학과 1970학번인 박근혜 전 대통령도 유출 대상에 포함된 것으로 확인됐다. 학교가 마련한 개인정보 유출 조회 페이지에서 박 전 대통령의 정보를 입력하면 개인정보가 유출됐다는 안내가 표시되는 것으로 전해졌다.

2024년엔 전북대, 이화여대

대학가 개인정보 유출 반복

피해자들 사이에서는 2차 피해에 대한 우려와 함께 학교 측의 대응이 늦었다는 불만도 나오고 있다. 암호화된 비밀번호가 유출됐더라도 동일하거나 유사한 비밀번호를 다른 서비스에서 사용하는 경우 추가 피해로 이어질 가능성을 배제하기 어렵기 때문이다. 일부 졸업생은 언론 보도 등을 통해 뒤늦게 사고 사실을 알게 됐다며 개별 통지가 충분하지 않았다고 지적했다.

이번 사고는 최근 대학가에서 잇따르고 있는 대규모 개인정보 유출의 연장선이라는 점에서도 주목된다. 2024년 전북대학교에서는 재학생과 졸업생 등 32만여 명의 개인정보가 유출됐고, 같은 해 이화여자대학교에서도 졸업생 등 8만3000여 명의 개인정보가 유출됐다. 이후 개인정보보호위원회는 개인정보 보호를 위한 안전조치가 미흡했다며 전북대와 이화여대에 각각 6억2300만원과 3억4300만원의 과징금을 부과했다.

대학은 재학생뿐 아니라 수십 년간 누적된 졸업생 등의 개인정보를 보유하고 있어 한 차례 보안망이 뚫릴 경우 피해 규모가 커질 수 있다. 학번처럼 일정한 규칙에 따라 생성되는 정보를 이용해 개인정보에 접근하는 시스템 역시 외부 공격에 상대적으로 취약할 수 있다는 지적이 나온다.

개인정보 유출 사고가 반복되는 상황에서 대학들이 불필요한 개인정보를 줄이고 외부의 비정상적인 접근을 상시 탐지할 수 있는 보안체계를 갖춰야 한다는 목소리도 커지고 있다.

서강대는 정확한 유출 범위와 사고 원인 등을 확인하기 위한 추가 조사를 진행하는 한편 피해 확산을 막기 위한 보안 조치를 이어가고 있다.