정보보호 진단서 ‘우수’ 받았는데…전북대, 32만명 개인정보 털려

전북대 통합정보시스템 해킹…민원 1000건 넘게 접수
경찰 “대학 과실 있어도 형사처분 대상은 아냐”

전북대학교 통합정보시스템이 해킹돼 32만명의 개인정보가 탈취됐다. 경찰은 전북대 측의 개인정보 관리가 소홀한 부분이 있었는지 들여다볼 계획인데, 과실이 있다고 하더라도 형사처분까지 이어지긴 어려울 전망이다.

6일 전북경찰청에 따르면 경찰은 국제공조 등을 통해 해킹에 사용된 인터넷 프로토콜(IP) 주소와 접속 기록 등을 분석해 해커를 추적하고 있다. 경찰은 해커에 대한 수사는 물론 개인정보를 관리하는 주체인 전북대의 개인정보 보호법 위반 사항 등을 검토할 예정이다.

전북대학교. 뉴시스

앞서 지난달 28일 오전 3시와 오후 10시, 오후 11시20분, 세 차례에 걸쳐 대학 통합정보시스템인 ‘오아시스’가 해킹돼 32만2425명의 개인정보가 유출됐다. 유출된 개인정보는 학생과 졸업생의 경우 이름과 주민등록번호, 전화번호, 학사정보를 비롯한 74개 항목이며 평생교육원 회원의 경우 29개 항목이다.

대학 측은 지난달 교육부의 정보보호수준 진단에서 ‘우수’ 등급을 받았으나 이번 해킹을 막지 못했다. 대학은 마지막 해킹 이후 13시간이 흐른 지난달 29일 오후 1시쯤 이를 인지하고 홍콩과 일본에서 접속한 IP 주소를 확인해 경로를 차단했다. 경찰은 해커가 가상 사설망(VPN)을 사용했을 가능성을 염두에 두고 국제 공조 수사를 요청한 상태다.

이번 사건으로 대학은 1040건이 넘는 민원 상담이 접수됐다. 보상 요구나 자료 삭제, 유출 확인 증명 등 자료 요구나 카드발급 등 문자를 받았다는 등의 내용으로 파악됐다. 전북대는 전날 총장 주관으로 총학생회와 동창회 등과 간담회를 열고 대책을 회의하기도 했다.

경찰은 해커에 대한 수사는 물론 개인정보를 관리하는 주체인 전북대 측의 개인정보 관리가 소홀한 부분이 있었는지도 살필 예정이다. 경찰 관계자는 “내부자가 (정보를 전달해) 해킹에 관여했을 수도 있기 때문에 다양한 각도에서 봐야 할 문제”라며 “또 해킹된 개인정보를 이용한 2차 범죄가 발생할 경우 추가로 수사할 예정”이라고 말했다.

다만 경찰은 전북대의 과실이 있다고 하더라도 형사처분까지는 이어지기 어렵다고 설명했다. 개인정보보호법에 따르면 개인정보 처리 주체가 안전성 확보 등에 필요한 조치를 하지 않았을 경우 과태료 부과 사안이다.

윤준호 기자 sherpa@segye.com