[서울=뉴스핌] 정태선 기자 = 서울시가 위탁한 자원봉사 온라인 교육 플랫폼에서 회원 3만 명 가까운 개인정보가 유출됐다는 지적이 나왔다.

서울시의회 행정자치위원회 김인제 의원(더불어민주당, 구로2)은 3일 열린 행정국 소관 행정사무감사에서 서울시가 위탁한 자원봉사 온라인 교육 플랫폼에서 회원 전원의 개인정보가 유출된 사고를 짚고, 서울시의 부실한 위탁 관리·감독 체계를 강하게 질타했다.

서울시와 서울시자원봉사센터로부터 제출받은 자료에 따르면, 지난 9월 서울시자원봉사센터가 운영하는 온라인 교육 플랫폼 'V클래스'에서 등록 회원 29,553명 전원의 개인정보가 유출된 것으로 확인됐다.

유출된 개인정보는 회원 아이디(ID), 성명, 이메일 주소, 비밀번호, 휴대전화 번호 등이다. 다만 비밀번호와 휴대전화 번호는 암호화된 상태로 보관돼 있었으며, 주민등록번호와 금융정보 등은 수집·보유하지 않아 유출되지 않은 것으로 파악됐다.

서울시자원봉사센터 보고에 따르면 수탁사 회원 데이터베이스(DB)의 침해 테이블을 분석한 결과 V클래스 등록 데이터 29,553명 전원이 유출된 것으로 확인됐다. 발생 원인은 외부 공격자의 시스템 취약점 악용(웹쉘 설치)과 데이터베이스 불법 권한 탈취다. 비밀번호와 휴대전화 번호는 DB 내 일방향 암호화가 적용된 상태로 보관·유출돼 평문 노출 위험성은 제한적이라고 센터는 밝혔다. 주민등록번호와 계좌·카드번호 등 민감정보는 수집·보유하지 않아 유출되지 않았다. 센터는 유출 확인 즉시 전체 회원 29,553명에게 이메일과 개별 문자(SMS)를 발송하고 선제적 보안 조치를 마쳤다고 보고했다.

김 의원은 더욱 심각한 문제로 해커가 시스템에 침입해 개인정보를 탈취하고 무단으로 스팸 문자까지 발송하는 동안 운영업체가 해킹 사실을 인지하지 못했다는 점을 꼽았다.

사고 경위를 보면, 해커는 9월 19일 시스템 취약점을 악용해 악성코드(웹쉘)를 설치하고, 20일 데이터베이스 접근 권한을 탈취했다. 이어 21일에는 운영업체의 발신번호를 악용해 무단으로 스팸 문자를 발송했다.

센터 보고서의 타임라인을 보면 19일 토요일 오후 2시 47분부터 6시 26분까지 외부 공격자가 비정상적으로 관리자 권한에 접근해 시스템 취약점을 악용한 악성코드(웹쉘)를 설치했다. 20일 일요일 오전 10시 4분에는 데이터베이스 권한을 불법 탈취했다. 21일 월요일 오전 10시 2분에는 수탁사 자체 발신번호를 악용한 무단 문자(스팸) 발송이 시작됐다.

그러나 운영업체는 자체 보안시스템을 통해 침해 사실을 발견하지 못했고, 22일 오전 외부 문자대행사로부터 이상 징후를 통보받고서야 사고를 인지했다. 김 의원은 최초 침입부터 약 67시간 동안 서울시 공공 플랫폼이 무방비로 열려 있었던 셈이라고 지적했다.

22일 화요일 오전 9시 35분 수탁사는 문자 대행사의 이상 징후 통보를 받고 침해를 인지해 긴급 차단에 착수했다. 오후 4시 10분에는 공격자 IP를 차단하고 유관기관인 개인정보보호위원회와 한국인터넷진흥원(KISA)에 침해 사실을 신고했다.

23일 수요일 수탁사의 전수 조사 중 DB 내 회원 정보의 외부 반출이 최종 확인됐다. 25일 금요일에는 법정기간(72시간) 안에 공지 팝업을 게시하고 회원 이메일을 발송했으며, 센터의 강력한 요구로 전체 회원 대상 개별 문자(SMS) 발송을 마쳤다.

김 의원은 기본적인 보안 조치도 갖추지 않았다고 지적했다. 센터 보고서에는 사고 이후 '관리자 페이지 2단계 인증(2FA) 강제 적용'을 완료했다고 적혀 있다. 김 의원은 국가정보원과 한국인터넷진흥원(KISA) 보안 가이드라인의 필수 권고사항인 2단계 인증조차 없이, 비밀번호 하나만 뚫리면 3만 명의 데이터베이스가 열리는 상태로 운영해 온 것이라고 비판했다.

김 의원은 서울시 행정의 총괄 부서인 행정국이 자원봉사센터에 맡긴 자원봉사 활성화 업무가 '개인정보 처리 위탁'에 해당한다는 사실조차 인지하지 못해, 개인정보 위·수탁 계약 체결과 수탁자 공개 등 법적 의무를 전혀 이행하지 않았다고 지적했다.

「개인정보 보호법」 제26조는 업무를 위탁할 때 목적 외 처리 금지, 안전성 확보조치 등을 문서로 정하고 수탁자를 교육·감독하도록 규정하고 있다. 같은 조 제4항은 위탁자가 업무 위탁으로 정보주체의 개인정보가 유출되지 않도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지 감독하도록 하고 있다. 서울시 정보보안과는 사고 이후인 9월 30일에야 전 부서에 관련 사례를 긴급 전파했다.

김 의원은 자원봉사센터가 민간업체에 업무를 다시 맡기는 과정에서도 적법한 승인 절차나 보안 점검이 이뤄지지 않았다고 지적했다. '서울시 → 자원봉사센터 → 민간업체'로 이어지는 전형적인 '재하청 관리 사각지대'가 생겼다는 것이다. 해당 업체는 지자체·공공기관 등 600~800여 개 고객사를 보유하고 한국중앙자원봉사센터·경기도자원봉사센터 등의 플랫폼도 운영하고 있다.

유출된 성명과 아이디, 이메일 주소 등 개인정보가 다른 사이트의 정보와 결합될 경우 정교한 피싱 범죄에 악용될 우려가 있다. 특히 해커가 운영업체의 발신번호를 도용해 실제 스팸 문자까지 발송한 사실이 확인된 만큼 스미싱·보이스피싱 등 2차 피해에 대한 각별한 주의가 요구된다.

김 의원은 현재 공개된 사고 대응 자료에 수탁업체의 전담 상담실과 서울시자원봉사센터의 문의 창구, 관계기관 신고 방법 등이 안내돼 있을 뿐, 피해 발생 시 구체적인 보상 기준이나 법률지원 등 서울시 차원의 피해 구제 대책은 명확히 제시되지 않았다고 지적했다.

김 의원은 "서울시가 위탁한 업무에서 개인정보 유출 사고가 났는데, 서울시 행정을 총괄하는 행정국이 해당 업무가 개인정보 처리 위탁에 해당하는지조차 몰랐다는 것은 「개인정보 보호법」상 기본 의무도 몰랐다는 것"이라며 "해커가 악성코드를 심고 데이터베이스를 털어 스팸 문자를 보낼 때까지 센터와 수탁사는 무엇을 하고 있었나"라고 강하게 지적했다.

이어서 "이번 사고는 자원봉사센터 한 곳만의 예외적 사고로 볼 수 없다. 개인정보 처리 위탁 사실조차 인지하지 못했다는 것은 행정국 소관 다른 민간위탁·용역 사업에도 같은 보안 사각지대가 방치돼 있을 가능성이 높다는 방증"이라고 지적했다.

김 의원은 "순수한 마음으로 봉사에 나선 시민들이 믿고 맡긴 개인정보가 위탁사의 시스템 취약점 하나로 송두리째 털렸다. 이는 명백한 행정 신뢰의 추락"이라고 말하며, "행정국은 소관 모든 민간위탁·용역 사무의 개인정보 위·수탁 계약 여부와 재위탁·보안 점검 실태를 즉시 전수조사해 의회에 서면 보고하고, 자원봉사센터는 피해 봉사자를 위한 2차 피해 전담 상담·법률 지원 대책과 외주 업체 선정 시 강력한 보안 평가 기준을 마련해야 한다"고 시정을 촉구했다.

windy@newspim.com