[단독]무연고 사망자 관리 구멍, 6070명 주민번호-유족 정보 8년간 노출

복지부 장사정보시스템 ‘e하늘’… 유족 수감 이력 등 민감한 내용도
명의 도용-서류 위조에 악용 우려… 운영사 측 뒤늦게 차단-유족 통보
공기관 정보유출, 과실이 해킹 앞서

보건복지부의 장사정보시스템 ‘e하늘’에 무연고 사망자의 주민등록번호가 8년 넘게 노출돼 온 것으로 확인됐다. 노출 규모는 6000명이 넘고, 유족의 정신건강 상태나 구치소 수감 내역 등 민감한 개인정보까지 포함된 사례도 있었다. 공공기관에서 관리 부실로 정보가 유출되는 사례가 반복되는 만큼 공공 사이트 전반을 점검해야 한다는 지적이 나온다.

● 주민번호, 질병 상태까지도 노출

30일 복지부에 따르면 e하늘을 위탁 운영하는 한국장례문화진흥원은 전날 홈페이지에 “무연고 공고 게시판에 개인정보가 노출되는 현상이 확인돼 차단 조치를 실시했다”는 공지를 띄우고 “출처가 불분명한 전화·문자메시지에 응답하지 말아 달라”고 당부했다.

지난달 28일 오전 10시 45분 접근이 차단되기 전까지 이 게시판에서는 누구나 로그인이나 별도 권한 없이도 웹브라우저 기능을 활용하면 무연고 사망자의 개인정보를 확인할 수 있었다. 공고 화면에는 사망자의 이름과 나이대, 사망일 등만 표시됐지만, 서버가 접속자의 웹브라우저로 보낸 ‘화면 밖’ 데이터에는 주민등록번호 등이 함께 담겨 있었다. 지방자치단체 담당자가 입력한 정보 가운데 장사법 시행규칙상 공개 대상만 게시해야 하는데, 설계상 착오로 비공개 정보가 걸러지지 않은 채 전송된 것이다.

실제로 무연고 사망자 공고가 실시된 2018년 2월부터 올 8월까지 게시된 6540건을 분석한 결과, 주민등록번호가 노출된 사망자는 6070명이었다. 외국인등록번호가 노출된 외국인 사망자는 152명이었다.

더 큰 문제는 유족의 민감한 개인정보와 조사 기록도 일부 노출됐다는 점이다. 주민등록번호가 노출된 유족은 29명이었다. 이 밖에 유족의 전화번호 55건, 성명과 생년월일 152건이 노출됐다. 한 공고에는 ‘자녀가 아버지(사망자)의 가정폭력을 피해 숨어 지냈으며 연락을 원치 않는다’는 내용이 자녀의 실명과 함께 담겼다. 자녀의 정신건강 상태나 구치소 수감 내역, 이복형제 여부가 기록된 공고도 있었다. 지자체가 사망 경위를 조사하면서 기록한 내용이다. 사망자와 달리 유족은 개인정보보호법의 보호 대상이다.

지난달 28일 동아일보의 취재로 개인정보 노출 사실을 파악하게 된 진흥원은 외부에서 해당 정보를 확인할 수 없게 차단하고 정보가 노출된 유족에게 이런 사실을 개별 통지했다. 복지부 노인지원과 관계자는 “현재까지 유출 의심 정황은 없는 것으로 확인했다”며 “추가로 시스템 전반의 취약점을 재점검해 재발을 방지할 계획”이라고 했다.

● 공공기관 정보 유출 절반은 해킹 아닌 ‘과실’

공공기관의 허술한 관리로 개인정보가 새어 나간 사례는 반복되고 있다. 서울시설공단의 공공자전거 ‘따릉이’에서는 2024년 6월 462만여 명의 개인정보가 빠져나갔다. 당시 중학생이던 10대 2명이 가입자 인증 없이도 다른 회원의 가입 정보를 조회할 수 있는 시스템상 허점을 파고들었다. 이 사건은 약 1년 7개월 뒤인 올 1월 경찰이 공단에 유출 의심 정황을 통보하면서 뒤늦게 알려졌다.

개인정보보호위원회에 따르면 지난해 개인정보 유출 신고는 447건으로 전년보다 45.6% 늘었다. 이 중 공공기관 신고 128건의 원인은 업무 과실이 68건(53.1%)으로 해킹(44건·34.4%)보다 많았다. 민간기업 신고 319건은 해킹(232건)이 대다수고 업무 과실은 42건(13.2%)인 점과 대조된다. 공공기관은 민간과 달리 스스로 정보를 흘려 유출된 사례가 많았다는 뜻이다.

전문가들은 사망자의 주민등록번호 등 신원정보도 유출되면 명의 도용이나 서류 위·변조 등 범죄에 악용될 수 있어 철저한 점검이 필요하다고 지적한다. 금융감독원에 따르면 2018년 8월부터 5년간 사망자 명의로 개설된 계좌는 1065개였고, 대출도 49건 실행됐다. 황석진 동국대 국제정보보호대학원 교수는 “해킹이 아닌 업무 과실에 따른 정보 노출은 직무 유기에 가깝다”며 “비슷한 문제가 있는지 공공 사이트를 모두 점검해야 한다”고 말했다.

조승연 기자 cho@donga.com