과학기술정보통신부 산하 정보통신기획평가원(IITP) 해킹 사고로 자택 주소와 주민등록번호 앞자리를 포함해 최대 십여개 항목에 달하는 개인정보가 유출된 것으로 확인됐다.
7일 한경닷컴 취재를 종합하면 IITP는 전날 유출 피해자에게 이름, 핸드폰 번호, 이메일, 소속기관, 부서명, 직위, 직장 주소, 생년월일(주민등록번호 앞 6자리), 성별(주민등록번호 7번째 자리), 아이디, 비밀번호, 전화번호, 자택 주소, 국가연구자번호, 경력정보, 학력 정보 등의 개인정보가 유출됐다고 안내했다.
사실상 주민등록번호 앞 7자리와 집 주소, 연락처, 경력·학력까지 신원 특정이 가능한 정보 대부분이 포함됐다. IITP 관계자는 "정확한 피해 규모는 파악 중"이라며 "피해자별로 유출된 항목은 다르다"고 했다.
앞서 IITP가 지난달 홈페이지에 게시한 안내문에 따르면 개인정보 접속기록 관리 시스템의 보안 강화 작업 중 외부 포트가 6월10일 오후 3시57분부터 7월6일 오후 4시5분까지 열려 있었고, 이 기간 외부의 비정상 접근으로 일부 데이터가 유출·삭제됐다. 시스템이 약 26일간 외부에 노출돼 있었던 셈이다.
유출 대상은 이지원, 이지매칭, ITFIND, 전자평가시스템, 융자관리시스템 등 5개 시스템 이용자다. 과제 신청부터 기술 매칭, 평가, 자금 지원까지 국가 정보통신기술(ICT) 연구개발(R&D) 행정의 주요 단계가 한꺼번에 외부에 노출된 셈이다.
이지원은 대학·기업 연구자가 기술수요조사 제출부터 과제 신청, 전자 협약, 수행관리, 성과 보고까지 처리하는 IITP 사업관리시스템이다. 이지매칭은 ICT R&D 혁신 바우처 지원사업에서 기술이 필요한 중소·중견기업과 이를 개발할 대학·출연연 등 연구기관을 연결하는 기술 매칭 플랫폼이고, 전자평가시스템은 과제 평가를 온라인으로 진행하는 창구로 외부 평가위원이 이용한다. 융자관리시스템은 ICT 중소기업이 기술개발 자금을 융자로 지원받는 정보통신응용기술개발지원(융자) 사업 관련 시스템이며 ITFIND는 IITP가 운영하는 ICT 정보 종합검색 포털이다.
IITP는 유출 피해자들에게 "이번 사고로 인해 유출된 개인정보를 이용하여 웹사이트 명의 도용, 보이스피싱, 파밍 등 2차 피해 우려가 있으므로 모르는 번호로 온 문자(스미싱)나 출처가 불분명한 이메일 수신 시 링크 클릭에 각별히 주의해 주시기 바란다"고 당부했다. 유출된 비밀번호와 동일하거나 유사한 비밀번호를 다른 서비스에서 쓰는 경우 즉시 변경할 것도 권고했다.
IITP는 올해 기준 총 1조8996억원 규모의 국가 ICT 분야 R&D 예산을 관리하는 기관이다. 대학·기업·연구기관 연구자들의 개인정보와 연구과제 정보를 보유하고 있는데 지난해 12월에도 지능형 지속 공격(APT)으로 직원 개인정보 일부가 유출되는 사고를 겪었다. 그런데 7개월 만에 다시 개인정보 유출 사고가 발생해 국가 R&D 관리기관의 보안 관리 체계가 부실한 것 아니냐는 지적이 나온다.
IITP는 "사고 원인과 범위를 철저히 조사하고 추가 사항은 신속 안내하겠다"며 "개인정보 유출 등으로 손해가 발생했다면 개인정보 분쟁조정위원회에 분쟁 조정을 신청할 수 있다"고 밝혔다.
홍민성 한경닷컴 기자 mshong@hankyung.com