국감서 '워크넷 유출' 질타…고용정보원장 "피해 충실히 보상할 것"

6월 말 대규모 해킹…23만명 이력서 정보 유출
"편의성과 정보보안 충돌…재발 없도록 할 것"

[서울=뉴시스] 추상철 기자 = 박종길 근로복지공단 이사장을 비롯한 고용노동부 산하기관 증인들이 23일 오전 서울 여의도 국회에서 열린 환경노동위원회의 국정감사에서 증인선서를 하고 있다. 2023.10.23. scchoo@newsis.com

[세종=뉴시스] 고홍주 기자 = 정부의 구인·구직 포털인 워크넷의 대규모 개인정보 유출 사고와 관련해 한국고용정보원장이 재차 사과했다.

김영중 고용정보원장은 23일 오전 서울 여의도 국회에서 열린 국회 환경노동위원회 국정감사에 출석해 "개인정보 유출에 대해 다시 한 번 매우 송구스럽다는 말씀을 드린다"며 "피해에 최대한 충실한 보상이 이루어질 수 있도록 노력하겠다"고 밝혔다.

앞서 7월6일 고용정보원은 중국 등 해외IP에서 23만여건의 워크넷 무단접속을 확인했다고 밝혔다.

워크넷은 고용노동부의 위탁을 받은 고용정보원이 운영하는 구인·구직 포털로, 이 사건으로 23만여명의 성명·성별·주소·전화번호·학력사항·경력사항 등이 담긴 이력서 정보가 유출돼 사용자들의 불안감이 커졌다.

당시 조사에 따르면, 개인정보 유출은 워크넷 자체 해킹을 통한 것이 아닌 다른 곳에서 수집한 사용자의 아이디와 암호를 대입해 로그인을 시도하는 이른바 '크리덴셜 스터핑(Credential Stuffing)' 수법이 사용된 것으로 추정됐다. 고용정보원 측은 사과문을 발표하는 한편, 로그인 시 별도로 인증서 인증을 거쳐야 접속이 가능하도록 시스템을 전면 개편했다.

이날 국감에서는 여야 할 것 없이 고용정보원에 대한 질타가 이어졌다.

노웅래 더불어민주당 의원은 "실제 유출은 발표하기 일주일 전, 6월28일이었는데 정보 유출을 덮으려고 그런 것이냐"며 "해커 방지 예산을 20억원씩 쓰면서 할 말이 있느냐"고 비판했다.

이에 김 원장은 "그런 게 아니다. 많은 예산을 쓰고 있음에도 이런 유출 사고를 막지 못한 것에 대해서는 매우 유감스럽게 생각한다"며 "크리덴셜 스터핑 공격기법이라는 게 정상적인 사용자와 비정상적인 사용자 구분이 매우 어려운 공격이기도 하다"고 답했다.

또 노 의원이 '개인정보 유출 피해자들이 보상을 요구하고 있는데, 잘못을 인정한다면 대응해서 막으려고 하지 말고 피해 보상을 확실히 해달라'고 요구하자 "피해를 회피하려는 것은 아니고 최대한 충실한 보상이 될 수 있도록 노력하겠다. 적극적으로 대응하겠다"고 말했다.

박대수 국민의힘 의원도 "전문가 이야기를 들어보니 하나의 IP에서 반복적으로 접근하는 로그기록을 확인하거나 로그인시 휴대폰 번호 인증 같은 2단계 인증을 설정했다면 충분히 사전 예방이 가능하다고 한다"며, "고용정보원 컴퓨터 보안 전문가들이 이를 사전에 인지를 못했다면 능력과 자질에 문제가 있는 게 아니냐"고 지적했다.

이어 "고용정보원이 크리덴셜 스터핑에 대한 대책을 마련하는 회의를 한 번도 가지지 않았으니 이런 일이 발생한 것이다. 그저 국가정보원이나 고용부가 마련한 지침만 준수하면 된다고 안심한 결과 아니냐"며 "국민의 신뢰를 무참히 짓밟은 것이고 공공기관으로서의 책무도 저버린 일"이라고 강조했다.

김 원장은 "이용자 편의성과 정보보안이 충돌되는 부분이 있어서 2단계 인증 도입을 하지 못했다"며 "재발 방지를 위해 정보보안 및 개인정보 관리에 더욱 노력하겠다. 정보보안 용역업체 선정에도 더 엄격한 평가 기준과 검증을 거치겠다"고 약속했다.

그러면서 "워크넷을 비롯해 현재 저희가 운영 중인 개인정보 처리 대민 전산망에 2차 인증을 모두 도입했고, 신속한 공격 탐지와 차단을 위해 지능형 관제시스템을 구축하고 있다"며 "24시간 보안관제가 가능하도록 내년도 예산안에 반영했으니 경영 최우선 과제로 잘 챙겨서 앞으로 이와 유사한 사고가 발생하지 않도록 최선의 노력을 다하겠다"고 했다.

☞공감언론 뉴시스 adelante@newsis.com