▲김인제 서울시의원

서울시가 운영하는 자원봉사 온라인 교육 플랫폼에서 약 3만 명의 회원 개인정보가 유출되는 사고가 발생했다. 해커는 시스템의 취약점을 악용해 개인정보를 탈취하고, 수탁사의 발신번호를 이용해 스팸 문자까지 발송했다. 이 사고는 서울시의 개인정보 관리 체계의 허점을 드러내며, 관리·감독의 부실함을 지적받고 있다.

3일 서울시의회 행정자치위원회 행정사무감사에서 김인제 서울시의원은 서울시자원봉사센터의 온라인 교육 플랫폼 'V클래스'에서 회원 2만 9553명의 개인정보가 유출된 사실을 지적했다. 유출된 정보는 회원 아이디, 성명, 이메일 주소, 비밀번호, 휴대전화 번호 등이며, 비밀번호와 휴대전화 번호는 암호화된 상태로 보관돼 있었다. 주민등록번호와 금융정보는 수집하지 않아 유출되지 않았다.

해커는 9월 19일 시스템 취약점을 이용해 악성코드를 설치하고, 20일 데이터베이스 접근 권한을 탈취했다. 21일에는 운영업체의 발신번호를 악용해 스팸 문자를 발송했다. 그러나 운영업체는 자체 보안시스템을 통해 이를 발견하지 못했고, 22일 오전 외부 문자대행사로부터 이상 징후를 통보받고서야 사고를 인지했다.

사고 이후 서울시자원봉사센터는 관리자 페이지에 2단계 인증을 강제 적용했으나, 이는 국가정보원과 한국인터넷진흥원의 보안 가이드라인에 따른 필수 권고사항이었다. 서울시 행정국은 자원봉사센터에 맡긴 업무가 개인정보 처리 위탁에 해당한다는 사실조차 인지하지 못해 법적 의무를 이행하지 않았다.

김인제 의원은 "서울시가 위탁한 업무에서 개인정보 유출 사고가 났는데, 서울시 행정을 총괄하는 행정국이 해당 업무가 개인정보 처리 위탁에 해당하는지조차 몰랐다는 것은 개인정보 보호법상 기본 의무도 몰랐다는 것"이라며 "해커가 악성코드를 심고 데이터베이스를 털어 스팸 문자를 보낼 때까지 센터와 수탁사는 무엇을 하고 있었나"라고 강하게 지적했다.

이번 사고는 서울시의 개인정보 관리 체계의 심각한 문제를 드러냈다. 김 의원은 "순수한 마음으로 봉사에 나선 시민들이 믿고 맡긴 개인정보가 위탁사의 시스템 취약점 하나로 송두리째 털렸다. 이는 명백한 행정 신뢰의 추락"이라며, "행정국은 모든 민간위탁·용역 사무의 개인정보 위·수탁 계약 여부와 보안 점검 실태를 즉시 전수조사해 의회에 보고할 것"을 촉구했다.

자원봉사센터는 피해 봉사자를 위한 2차 피해 전담 상담·법률 지원 대책과 외주 업체 선정 시 강력한 보안 평가 기준을 마련해야 한다고 강조했다.

이번 사건은 서울시의 개인정보 관리 체계의 심각한 문제를 드러내며, 시민들의 신뢰를 회복하기 위해서는 철저한 조사와 개선이 필요하다. 서울시는 개인정보 보호에 대한 책임을 다하고, 향후 유사한 사고가 발생하지 않도록 철저한 보안 대책을 마련해야 할 것이다.

[저작권자ⓒ 미디어시시비비. 무단전재-재배포 금지]