회원 3만명 전원 정보 유출 및 수탁사 발신번호로 스팸 문자 발송
해킹 사흘 동안 인지 못 해… 문자대행사 통보 후에야 확인, 2FA는 사후 적용
서울시 행정국, 개인정보 처리 위탁 여부조차 미파악
관리·감독 사각지대 노출, 행정국 소관 사업 개인정보 처리실태 전수조사 촉구

서울시의회 행정자치위원회 소속 김인제 의원(더불어민주당·구로2)은 지난 3일 열린 행정국 행정사무감사에서 서울시 민간위탁 플랫폼의 허술한 보안 실태를 강도 높게 비판했다. 시가 위탁 운영하는 자원봉사 온라인 교육 플랫폼에서 가입 회원 전원의 개인정보가 통째로 털리는 보안 사고가 발생했음에도, 시의 관리·감독 체계가 완전히 작동하지 않았다는 지적이다.

서울시의회와 서울시자원봉사센터 측이 제출한 자료에 따르면, 지난 9월 서울시자원봉사센터가 운영하는 온라인 교육 플랫폼 ‘V클래스’를 이용해 온 전체 회원 2만 9553명의 개인정보가 외부 해킹으로 유출된 것으로 최종 확인됐다.

유출된 개인정보는 회원 아이디(ID), 성명, 이메일 주소, 비밀번호, 휴대전화 번호 등이다. 다만 비밀번호와 휴대전화 번호는 암호화된 상태로 보관돼 있었으며, 주민등록번호와 금융정보 등은 수집·보유하지 않아 유출되지 않은 것으로 파악됐다.



더욱 심각한 문제는 해커가 시스템을 안방처럼 드나들며 개인정보를 빼내가고 대량의 스팸 문자까지 버젓이 발송하는 동안, 정작 관리 책임이 있는 운영업체는 이 사실조차 까맣게 몰랐다는 점이다.

실제 사고 일지를 보면 해커의 침입은 치밀하게 진행됐다. 우선 지난 9월 19일 시스템의 보안 허점을 틈타 악성코드(웹쉘)를 심은 뒤, 다음 날인 20일 데이터베이스(DB) 접근 권한을 무단으로 탈취했다. 이어 21일에는 수탁사의 공식 발신번호까지 도용해 무단 스팸 문자를 대량으로 살포한 것으로 드러났다.

그러나 운영업체는 자체 보안시스템을 통해 침해 사실을 발견하지 못했고, 22일 오전 외부 문자대행사로부터 이상 징후를 통보받고서야 사고를 인지했다. 최초 침입부터 약 67시간 동안 서울시 공공 플랫폼이 무방비로 열려 있었던 셈이다.



기본적인 보안 조치도 갖추지 않았다. 센터 보고서에는 사고 이후 ‘관리자 페이지 2단계 인증(2FA) 강제 적용’을 완료했다고 적혀 있다. 국가정보원과 한국인터넷진흥원(KISA) 보안 가이드라인의 필수 권고사항인 2단계 인증조차 없이, 비밀번호 하나만 뚫리면 3만명의 데이터베이스가 열리는 상태로 운영해 온 것이다.

서울시 행정의 총괄 부서인 행정국은 자원봉사센터에 맡긴 자원봉사 활성화 업무가 ‘개인정보 처리 위탁’에 해당한다는 사실조차 인지하지 못해, 개인정보 위·수탁 계약 체결과 수탁자 공개 등 법적 의무를 전혀 이행하지 않았다. ‘개인정보 보호법’ 제26조는 업무를 위탁할 때 목적 외 처리 금지, 안전성 확보조치 등을 문서로 정하고 수탁자를 교육·감독하도록 규정하고 있다. 서울시 정보보안과는 사고 이후인 9월 30일에야 전 부서에 관련 사례를 긴급 전파했다.



자원봉사센터가 민간업체에 업무를 다시 맡기는 과정에서도 적법한 승인 절차나 보안 점검은 이뤄지지 않았다. ‘서울시 → 자원봉사센터 → 민간업체’로 이어지는 전형적인 ‘재하청 관리 사각지대’가 생긴 것이다. 해당 업체는 지자체·공공기관 등 600~800여개 고객사를 보유하고 한국중앙자원봉사센터·경기도자원봉사센터 등의 플랫폼도 운영하고 있다.

유출된 성명·아이디·이메일 등의 개인정보가 타 사이트 정보와 교차 결합될 경우, 더욱 정교한 표적형 피싱 범죄로 이어질 위험이 크다. 특히 해커가 실제 수탁사의 공식 발신번호를 악용해 무차별 스팸 문자까지 살포한 만큼, 향후 스미싱이나 보이스피싱 등 2차 피해를 막기 위한 철저한 경계가 요구된다. 그러나 현재 마련된 사고 대응 지침에는 수탁업체 전담 상담실이나 센터 문의 창구, 신고 방법 등 기본적인 안내만 담겨 있을 뿐, 실제 피해 발생 시 적용될 구체적인 보상 기준이나 법률 지원 등 서울시 차원의 실효성 있는 구제 대책은 찾아보기 힘든 실정이다.

김 의원은 2일 행정사무감사에서 “서울시가 위탁한 업무에서 개인정보 유출 사고가 났는데, 서울시 행정을 총괄하는 행정국이 해당 업무가 개인정보 처리 위탁에 해당하는지조차 몰랐다는 것은 ‘개인정보 보호법’상 기본 의무도 몰랐다는 것”이라며 “해커가 악성코드를 심고 데이터베이스를 털어 스팸 문자를 보낼 때까지 센터와 수탁사는 무엇을 하고 있었나”라고 강하게 지적했다.

이어서 “이번 사고는 자원봉사센터 한 곳만의 예외적 사고로 볼 수 없다. 개인정보 처리 위탁 사실조차 인지하지 못했다는 것은 행정국 소관 다른 민간위탁·용역 사업에도 같은 보안 사각지대가 방치돼 있을 가능성이 높다는 방증”이라고 지적했다.

끝으로 김인제 의원은 “순수한 마음으로 봉사에 나선 시민들이 믿고 맡긴 개인정보가 위탁사의 시스템 취약점 하나로 송두리째 털렸다. 이는 명백한 행정 신뢰의 추락”이라고 말하며 “행정국은 소관 모든 민간위탁·용역 사무의 개인정보 위·수탁 계약 여부와 재위탁·보안 점검 실태를 즉시 전수조사해 의회에 서면 보고하고, 자원봉사센터는 피해 봉사자를 위한 2차 피해 전담 상담·법률 지원 대책과 외주 업체 선정 시 강력한 보안 평가 기준을 마련해야 한다”고 시정을 촉구했다.

류정임 리포터