‘박사방’ 개인정보 탈취에 악용된 ‘1365 포털’ 또 외부 공격
정부24 ‘어린이 포털’도 공격…3년째 개인정보 유출 반복
정춘생 의원실 통해 행안부·개인정보위 자료 단독 입수

국내 최대 자원봉사 플랫폼인 행정안전부의 ‘1365 자원봉사포털’이 외부 공격을 받아 이용자 8785명의 성명과 생년월일, 휴대전화 번호 등 개인정보가 유출된 것으로 나타났다. 가입자가 1500만명가량이나 되는 이 포털은 과거 텔레그램 성착취물 유포방인 ‘박사방’ 일당이 일부 피해자들의 개인정보를 빼낸 사실이 드러나 정보 보안이 취약하다고 지적받은 바 있다. 개인정보위원회는 사건이 발생한 지 4개월 뒤에야 유출 경위 파악에 나섰다. ‘늑장 대응 ‘이라는 비판이 나온다. 

‘1365 자원봉사포털’이 외부 공격을 받아 이용자 8785명의 성명과 생년월일, 휴대전화 번호 등 개인정보가 유출된 것으로 나타났다. ‘1365 자원봉사포털’ 홈페이지 화면 캡처

29일 행정안전부가 조국혁신당 정춘생 의원실에 제출한 자료에 따르면 자원봉사포털은 5월 19일 보안상 허점을 노린 외부 공격을 받았다. 행안부는 이튿날 피해 사실을 인지해 개인정보보호위원회에 796명의 개인정보가 유출됐다고 신고했다. 그러나 이후 조사과정에서 실제 피해 규모는 8785명으로 늘었다. 당초 신고한 규모의 약 11배가 넘는다.

유출된 개인정보 항목은 피해자마다 달랐다. 당초 신고된 796명 가운데 426명은 성명·생년월일·휴대전화번호·연계정보(CI)가, 329명은 성명·생년월일·휴대전화번호가, 41명은 성명·생년월일·아이디(ID)가 유출되는 피해를 입었다.

자원봉사포털의 보안 사고는 이번이 처음이 아니다. 과거 박사방을 운영한 조주빈, 강훈 등은 피해자의 이름과 생년월일을 이용해 아이디를 알아낸 뒤 임시 비밀번호를 발급받아 주소 등 개인정보를 파악하는 데 포털을 악용했다. 2020년 국회 행정안전위원회 국정감사에서 이 문제가 지적되자 진영 당시 행안부 장관은 “매우 죄송스럽다”며 “이런 일이 없도록 하겠다”고 밝혔다.

행정안전부가 정춘생 의원실에 제출한 ‘1365 자원봉사포털’ 개인정보 유출 현황 자료. 최초 신고 규모는 796명이었지만 최종 8785명으로 집계됐다. 정춘생 의원실 제공

이번 사고에서는 외부 공격자가 서버 기록 파일을 내려받은 과정에서 개인정보가 유출됐다. 행안부 관계자는 “서버 파일에 개인정보가 포함된 사실이 확인됐다”고 부연했다.

개인정보위는 사건 발생 4개월 뒤인 이달 21일 행안부에 개인정보 유출 사고와 관련한 자료 제출을 요구한 것으로 확인됐다. 정 의원은 이를 두고 “전형적인 ‘늑장행정’”이라고 비판했다.

개인정보위원회가 지난 21일 ‘1365자원봉사포털’ 개인정보 유출 사고와 관련해 행정안전부에 보낸 자료 제출 요구 공문. 정춘생 의원실 제공

개인정보위 관계자는 “행안부가 5월 개인정보 유출사고 신고를 한 뒤 7월에 추가로 정정 신고를 했다”며 “그 이후부터 조사에 들어가게 됐다”고 해명했다. 이 관계자는 이어 “빠르게 진행하면 좋겠지만 사건 수에 비해 인력이 적어 즉시 조사에 착수하기 쉽지 않다”고 토로했다.

정부 통합행정서비스 포털인 정부24에서는 민감한 개인정보들이 유출됐다. 정부24에서 해킹에 따른 유출 사고가 난 것은 이번이 처음이다. 행안부가 정 의원실에 제출한 자료에 따르면 올 8월 17일 정부24 ‘어린이 포털’의 취약한 페이지를 노린 공격으로 서버(11개)에 있는 메모리 덤프파일이 탈취됐다. 메모리 덤프파일은 시스템이 특정 시점에 메모리에 저장하고 있던 내용을 파일 형태로 옮긴 것이다. 

행안부가 이튿날 개인정보위에 보낸 ‘개인정보 유출 등 신고서’를 보면 주민등록번호 36개, 전화번호 3개, 아이디(ID)·비밀번호(PW) 55개가 유출됐다고 추정하고 있다. 다만 현재까지 정확한 피해규모는 파악되지 않았다. 

앞서 행안부는 2024년과 2025년 정부24에서 성명과 주민등록번호, 교과성적, 졸업학교 등 개인정보가 유출되는 사고가 일어나 과징금 2억7300만원과 과태료 3백만원을 부과받았다. 

정 의원은 “국민의 가장 민감한 개인정보가 탑재된 ‘정부24’ 등에서 잇따라 개인정보 유출 사고가 발생한 것은 큰 문제”라며 “‘AI 3대 강국’이 되기 위해서는 정보 보안 강화와 사고 발생 시 조속한 조사 및 피해자 구제조치가 전제돼야 한다”고 지적했다.

김세희 기자 [e-mail]