12만 명 개인정보 유출… 공공기관 보안, 믿을 수 있는가
2025년 6월, 한국연구재단의 논문투고 시스템(JAMS)이 해킹당하면서 약 12만 명의 연구자 개인정보가 유출됐다. 이름, 생년월일, 휴대전화, 직장, 계좌 정보까지 포함된 민감 정보였다. 사건은 URL 파라미터 조작이라는 기초적 해킹 기법으로 시작되었고, 초기대응의 실패와 구조적 보안 결함, 불투명한 통지 절차가 더해져 피해는 걷잡을 수 없이 확산됐다. 정부 산하의 국가 R&D 지원기관이, 그것도 학술 생태계를 담당하는 핵심기관이 이처럼 허술하게 보안을 운영해온 현실은 단지 한 기관의 문제가 아니다. 공공부문 전체가 ‘정보보호 사각지대’에 놓여 있다는 경고다.
본 기사는 국회입법조사처가 발간한 『이슈와 논점 제2387호』(황현희, 강은수 공저, 2025년 7월 21일)를 바탕으로, 사건의 경과와 문제점, 제도적 개선방안을 종합 정리하여 한국 공공기관의 사이버보안 현황을 진단한다.
국가 R&D의 심장, 단순한 공격에 무너진 신뢰
한국연구재단은 국가 연구개발사업(R&D)의 핵심 거점이다. 그런 기관이 이메일 하나로 뚫렸다. 2025년 6월 6일 새벽, 해커는 URL 주소의 매개변수를 조작해 비밀번호 초기화 요청을 시도했고, 시스템은 단 한 가지 정보(이메일)만 입력해도 응답했다. 그 결과 약 12만 2,954명의 개인정보가 유출되었으며, 일부는 주민등록번호까지 노출됐다. 피해자 중 일부는 무단으로 특정 학회에 가입되기도 했다. 이는 2차 피해로 이어졌고, 명의 도용이 발생했다는 점에서 상황의 심각성을 더했다. 그러나 재단은 초기 공지에서 “개인정보 유출은 없었다”고 발표했고, 뒤늦은 6월 12일에야 정정보도와 사과문을 발표했다.
해킹 시도는 새벽 2시 43분에 이루어졌지만, 재단은 오전 9시가 되어서야 신고를 접수하고, 그날 밤이 되어서야 시스템을 차단했다. 이 과정에서 과학기술정보통신부 산하 사이버안전센터의 ‘24시간 통합관제’는 실질적으로 작동하지 않았다. 6월 9일 과기부가 주관한 2차 정밀조사를 통해서야 유출 사실이 공식 확인되었고, 사흘이 지난 6월 12일에야 유출 통지와 신고가 이루어졌다. 이후에도 2차 피해가 확인된 6월 17일까지 이중 인증은 적용되지 않았으며, 같은 달 20일에서야 로그인 이중 인증 절차가 추가되었다.
문제의 핵심은 기술보다 ‘조직과 설계’였다. 재단은 JAMS 시스템을 2008년부터 운영해왔으나, 전체 구조를 점검하거나 보안 고도화를 수행하지 않았다. 시스템은 임시 비밀번호 발급, 신규 가입 등 민감한 기능에서조차 이중 인증 없이 작동했다. 심지어 서버는 응답 과정에서 요청된 범위를 초과해 개인정보 전체 테이블을 반환하는 구조적 결함까지 가지고 있었다. 기술적으로 정교한 공격이 아닌, 기본적인 시도만으로도 대량의 정보가 노출될 수 있는 상태였던 것이다.
인력 부족? 구조적 무책임?
재단은 해명 과정에서 보안 인력이 5명에 불과하고, 이는 기준 인원 7명에 못 미친다며 인력 증원과 예산 확보가 반영되지 않았다고 설명했다. 하지만 이는 단순한 변명이 되기 어렵다. 조직 내부 자원의 우선순위와 전략적 배분의 실패를 보여주는 대목이기도 하다. 보안은 조직의 핵심 역량이다. 수천억 원의 R&D 예산을 운용하는 기관이 보안을 ‘외부에 의존’하거나 ‘예산 미편성’을 이유로 책임을 회피해서는 안 된다.
현행 「개인정보 보호법 시행령」은 개인정보 유출 사실을 인지한 시점부터 72시간 이내 통지를 의무화하고 있다. 하지만 이 규정은 현장에서 오히려 통지를 지연시키는 근거로 악용되고 있다. 한국연구재단도 피해 규모가 명확하지 않다는 이유로 유출 사실 확인 이후에도 사흘간 “유출 없음”을 유지했다.
통지 메일조차 명확하지 않았다. 피해자의 유출 여부가 직접적으로 명시되지 않아 혼란을 야기했고, 통지 수단도 이메일에만 의존해 즉시성이 떨어졌다. 주민등록번호 유출자의 경우 전화 통지를 시도했다고 하지만, 이는 전체 대상자에 대한 실효성 있는 조치라 보긴 어렵다.
재단은 정보보호관리체계 인증(ISMS)을 받지 않았다. ISMS는 일정 매출액(100억 원) 또는 일일 사용자 수(100만 명) 기준에 따라 의무화되지만, 대부분의 공공기관은 대상에서 제외된다. 이에 따라 R&D, 과학기술, 개인정보를 대량 보유한 기관들도 인증 없이 시스템을 운영해왔다. 재단 역시 마찬가지였다. ISMS 인증 의무화는 커녕, 정보보호 현황을 대외적으로 공시할 의무조차 없다. 정보보호산업법에 따라 공시 의무 대상에서 공공기관은 제외되기 때문이다.
제도 개선을 위한 3가지 법적 대안
1. 사이버보안 진단의 실효성 강화
「사이버안보 업무규정」에 근거한 연 1회 자체 점검은 실효성이 낮다. 이를 「전자정부법」 등 상위 법률로 격상하고, 시정명령 불이행 시 과태료 등 제재 수단을 도입해야 한다. 24시간 관제가 기능하지 않는 문제는 운영체계 전반에 대한 외부 점검이 병행되어야 한다.
2. 개인정보 유출 ‘즉시통지’ 의무화
현재는 ‘72시간 이내 통지’ 규정이 통지 지연의 근거가 되고 있다. 이를 보완해 고위험 정보(주민등록번호, 계좌정보 등) 유출 시 ‘인지 즉시 통지’ 조항을 신설해야 한다. 다중채널 통지(문자, 이메일, 카카오톡)를 의무화하고, 명확한 통지 문구 기준도 마련해야 한다.
3. ISMS 인증 및 정보보호 공시 의무화
정보통신망법과 정보보호산업법을 개정해 공공기관도 ISMS 인증을 의무화하고, 정보보호 공시 대상에 포함해야 한다. 고위험 정보를 다루는 기관부터 우선 적용하고, 단계적으로 범위를 확대하는 것이 현실적이다.
한국연구재단 해킹 사건은 단순한 보안 사고가 아니다. 공공부문 정보보호 시스템이 얼마나 허술하게 운영되고 있었는지를 적나라하게 보여주는 상징적 사건이다. 공공기관이 민간보다 낮은 정보보호 기준을 적용받아도 된다는 안이한 인식은 이제 철회되어야 한다. 피해자는 연구자이고, 국민이며, 세금으로 운영되는 시스템의 사용자다. 공공기관의 정보보호는 국가 신뢰의 문제다. 그 신뢰를 회복하려면 기술보다 책임, 제도보다 태도가 먼저 바뀌어야 한다.
#한국연구재단해킹 #공공기관보안 #개인정보유출 #ISMS인증의무화 #공공기관정보공시 #사이버보안강화 #정보보호법개정 #즉시통지의무 #연구자피해 #JAMS시스템해킹
답글 남기기