온라인 교육사이트 운영업체 해킹으로 교육부 산하기관인 한국교육시설안전원 이용자 약 4만명의 개인정보가 유출된 것으로 확인됐다. 교육부는 피해가 특정 기관에 그치지 않을 가능성을 고려해 산하 기관 약 400곳에 긴급 보안 권고문을 보내고 사이버 보안 점검을 강화하기로 했다.

8일 교육계와 교육부에 따르면 한국교육시설안전원은 최근 홈페이지를 통해 위탁 운영 중인 시스템에 비인가 접근이 발생했고 회원 개인정보가 유출된 사실을 확인했다고 밝혔다.

유출된 정보에는 이용자의 이름과 소속기관, 생년월일, 주소, 이메일, 아이디, 비밀번호 등이 포함된 것으로 파악됐다.

이번 사건은 온라인 교육사이트 운영업체 맑은소프트의 서버가 외부 공격을 받은 데서 시작됐다. 공격자가 지난달 20일 회사 내부 서버에 비정상적으로 접근해 악성 프로그램을 설치했고, 이 과정에서 데이터베이스에 저장된 여러 고객사의 자료가 외부로 빠져나간 것으로 조사되고 있다.

문제는 맑은소프트가 여러 기관의 온라인 시스템을 위탁 운영하고 있었다는 점이다. 한 업체의 서버가 공격을 받으면서 여러 기관과 단체의 이용자 정보가 동시에 노출되는 구조였던 셈이다.

현재까지 국민권익위원회와 국방부, 기아 노동조합 등 20여개 기관 및 단체의 개인정보가 유출된 것으로 파악됐다. 국민권익위가 운영하는 교육 사이트 이용자 약 10만명의 정보가 유출된 데 이어 기아 광명공장 노동조합원 약 5천명의 개인정보도 노출된 것으로 조사됐다.

교육시설안전원은 학교 시설의 안전관리 업무를 담당하는 교육행정직 공무원 등을 대상으로 교육과 연수 등을 진행하는 기관이다. 이번 개인정보 유출이 단순한 일반 회원정보 노출을 넘어 교육행정 분야의 이용자 정보까지 포함하고 있다는 점에서 우려가 커지고 있다.

교육부는 이번 사건을 계기로 사이버 보안 관리체계를 확대하는 방안을 검토하고 있다. 지금까지 교육부 사이버관제센터의 직접적인 관제 대상이 아니었던 일부 유관기관도 향후 관리 범위에 포함하는 방안이 검토되고 있다.

교육부는 이미 지난 6일 산하 기관 약 400곳에 긴급 보안 권고문을 발송했다. 각 기관에 사이버 보안 점검과 침해 여부 모니터링을 강화하도록 요청한 것이다.

최근 교육기관을 겨냥한 사이버 공격은 계속 증가하는 추세다. 교육기관에는 학생과 학부모, 교직원뿐 아니라 각종 행정기관 이용자의 개인정보가 대량으로 저장돼 있어 해커들의 공격 대상이 될 가능성이 높다는 분석이다.

전문가들은 특히 외부 업체에 정보시스템 운영을 맡길 경우 위탁업체의 보안 수준까지 함께 관리해야 한다고 지적한다. 기관 자체 서버의 보안을 강화하더라도 위탁업체가 공격받으면 연결된 여러 기관의 정보가 한꺼번에 유출될 수 있기 때문이다.

교육부와 한국교육시설안전원은 정확한 유출 범위와 피해 규모를 확인하는 동시에 추가 피해를 막기 위한 조치를 진행하고 있다.

이번 사건은 공공기관의 개인정보를 외부 업체에 위탁해 관리하는 과정에서 발생할 수 있는 보안 취약점을 다시 한번 보여줬다는 점에서 정부 차원의 관리체계 개선 필요성을 높이고 있다.