경기도서 전국학평 성적자료 3년간 290만건 추가 유출…"해킹된 서버 즉각 폐쇄"(종합)

교육부 조사결과 경기도교육청 전달…온라인 유포여부 아직 몰라
경기도교육청, 해킹된 자체 개발 프로그램 GSAT 즉각 폐쇄하겠다

임태희 경기도교육감이 4일 오전 경기 수원시 장안구 경기도교육청 브리핑룸에서 전국연합학력평가 자료 유출 관련 긴급 기자회견을 하고 있다. (경기도교육청 제공) 2023.5.4/뉴스1

(수원=뉴스1) 배수아 이윤희 기자 = 지난 11월 치러진 전국연합학력평가 성적정보가 유출돼 경찰이 수사에 나선 가운데 학력평가 성적 유출이 수년간 지속적으로 이어져 온 것으로 드러났다.

4일 경기도교육청이 교육부로부터 전달받은 조사결과에 따르면 학력평가 응시학생 성적자료는 2019년, 2021년, 2022년 4월과 11월, 총 6차례 추가로 유출된 것으로 확인됐다.

도교육청에서 추가로 유출된 성적자료는 모두 290만건인 것으로 파악됐다. 유출된 응시생들의 성적자료가 온라인으로 유포됐는지는 아직 확인되지 않았다.

도교육청은 개인정보보호법에 따라 홈페이지를 통한 게시와 신고절차를 마무리했다.

임태희 교육감은 "학생을 보호할 책임이 있는 교육청에서 오히려 큰 상처를 드린 점에 대해 교육감으로서 무거운 책임을 느낀다. 진심으로 머리 숙여 사과드린다"며 "관련 경위를 철저히 조사해 문제가 드러난 부분은 과감히 도려내고 엄중하게 책임을 묻겠다"고 말했다.

도교육청은 2017년부터 학력평가 온라인시스템(GSAT)을 자체 개발해 운영해 왔다. 자체 시스템을 개발해 운영하는 건 전국 시도교육청 중 경기도교육청이 유일하다.

경기도교육청은 매년 4월 고3 전국학력평가와 11월 고1, 고2 전국학력평가를 주관했고, GSAT를 통해 전국 응시생들의 성적 데이터를 관리해왔다.

이번에 추가로 유출이 확인된 성적 자료는 경기도교육청이 GSAT를 통해 관리해온 자료였다.

2021년 개인정보보호위원회는 도교육청에 개인정보에 대한 안전조치 의무 소홀을 지적한 바 있다.

도교육청은 재발방지 대책으로 자체 개발 시스템인 GSAT를 즉각 폐쇄하는 안을 내놨다.

또 개인정보시스템 관리실태를 전수조사하고 외부 전문기관에 컨설팅 점검 용역을 실시해 개인정보보호 관리체계 전반을 점검하겠다고 밝혔다.

향후 정보시스템을 구축하는 모든 과정에 정보 전문가가 공동으로 참여하도록 업무체계도 재정비하기로 했다.

중장기 방안으로는 일관된 보안정책을 공통으로 적용해 안전하게 자료를 관리하는 클라우드 기반의 통합 시스템을 구축한다는 계획이다.

도교육청은 2차 피해 확산을 막기 위해 도의회와 국회에 개인정보보호법 처벌 규정에 대한 보완 입법을 요청하기도 했다.

한편 올해 4월과 11월 경기도교육청이 주관해 실시할 예정인 전국연합학력평가는 각각 5월과 12월로 연기해 한국교육과정평가원에서 성적처리를 진행한다는 방침이다.

임태희 경기도교육감이 4일 오전 경기 수원시 장안구 경기도교육청 브리핑룸에서 전국연합학력평가 자료 유출 관련 긴급 기자회견을 하고 있다. (경기도교육청 제공) 2023.5.4/뉴스1

앞서 경찰은 지난해 11월 치러진 경기도교육청 주관 전국연합학력평가 성적정보가 지난 2월 18일 텔레그램 채널방을 통해 유포되면서 논란이 거세지자 수사에 착수했다.

해당 파일에는 경남교육청과 충남교육청을 제외한 15개 시도교육청에서 이 시험에 응시한 고2 학생 27만명의 시험 성적과 소속학교, 이름, 성별이 담겨 있었다.

사건을 수사 중인 경기남부경찰청 사이버수사대는 텔레그램 채널에 성적 자료를 최초 유포한 20대 A씨를 개인정보유출 위반 혐의로 입건해 구속했다.

재수생인 A씨는 아직 검거되지 않은 불상의 해커를 통해 전국학평 성적정보를 넘겨 받아 이를 자신이 운영하는 채널방에 올린 것으로 확인됐다.

경찰은 불상의 해커를 수사하는데 수사력을 집중하고 있다. 해외 IP로 우회해 들어와 해외 기업의 공조 등이 필요한 상황이다.

경찰은 A씨 외에도 같은 텔레그램 채널방 운영자 B씨 등 5명을 검거해 수사 중이다. 이 중에는 전국학평 성적정보를 해킹했지만 유포는 하지 않은 고등학생 C씨도 포함돼 있는 것으로 알려졌다.

다만 이번에 새롭게 유출이 확인된 2019년, 2021년, 2022년 4월과 11월, 총 6차례 성적 자료를 누가 해킹했는지는 밝혀내기 어려울 것으로 보인다. 경기남부청 사이버수사대 관계자는 "통신자료는 보관기간이 짧다"면서 "어디서 IP를 썼는지 등의 통신자료는 짧게는 3개월에서 1년 정도밖에 안돼 수사가 가능할지 모르겠다"고 말했다.

sualuv@news1.kr