K대, S대, G대, D대, H대 등 5개 대학 및 K대 총동창회 등 6곳 피해
범죄자는 K대 재학생 2명, 소속 학교 제적처리...시스템 보안 고도화, 직원교육 등 이어져

[보안뉴스 김영명 기자] 올해 K대 재학생 두 명이 국내 5개 대학과 대학 동창회 홈페이지를 해킹해 큰 파장이 일었다. 개인정보보호위원회 조사결과에 따르면 K대, S대, G대, D대, H대 등 5개 대학과 함께 K대 총동창회 홈페이지까지 6개 기관·단체가 해킹됐으며, 총 81만명이 넘는 사람들의 개인정보와 함께 주민등록번호가 2만여 건이 노출됐다. 이 같은 범죄 행위는 2021년 8월부터 2022년 11월까지 1년 6개월 동안 이어졌다.


[이미지=gettyimagesbank]

사건을 수사한 대구경찰청 사이버범죄수사대는 사건 발생 9개월만인 올해 7월에 해커를 특정했다. 주범 A씨는 구속, 또 다른 대학생 B씨는 불구속 입건됐다. 붙잡힌 이들 두 명은 이 같은 해킹이 ‘단순한 장난이었다’고 말하기도 했다. 해당 학생들은 소속 대학에서도 제적처분을 받았다. 사건이 발생한 이후, 피해를 봤던 각 대학과 총동창회에서는 어떻게 보안을 강화하고, 대응해 왔는지 살펴봤다.

K대, 수시모집 지원자 개인정보 털려
K대는 지난해 10월 중순 개인정보 유출 사실을 인지한 이후, 홈페이지를 통해 몇 년 전 수시모집 지원자의 수험번호, 전형, 학과, 주민등록번호, 고교명, 졸업 연도 등 6개 항목이 유출됐다고 사과문을 올렸다. 당시 수시모집 지원자는 4만 6,000명에 달했다. K대 관계자는 “일부 전형 지원자의 개인정보가 열람됐지만, 경찰 수사결과 2차 외부 유출은 없었다”고 말했다. 이어 “개인정보를 유출했던 본교 재학생 2명에 대해서는 징계(제적) 처분을 내렸다”고 덧붙였다.

이 관계자는 “우리 대학은 매년 개인정보 유출 대응 매뉴얼을 수립해 시행해 왔다”며 “교육부 매뉴얼을 참고해 개인정보 유출 단계별 대응 절차 및 조치, 업무체계를 구체화한 ‘2023년도 개인정보 유출사고 대응 매뉴얼’을 재수립했다”고 밝혔다.

K대는 올해는 8월에 비대면, 11월에는 대면 교육을 각 1회씩 진행했다. K대는 사고 이후 개인정보 접근권한 강화, 불법 접근 및 침해사고 방지 위한 접근통제 등 조치를 강화하고, 노후된 보안장비 교체, 침해사고 자동 모니터링이 가능한 종합 보안관제 체계도 도입했다. 대학은 정보보안 관리실태 진단 및 관리 대책 도출을 위한 정보보안 컨설팅을 진행 중이다.

S대, 암호화 알고리즘 고도화 작업 등 보안 강화 조치
S대는 관리자 계정의 취악점을 악용해 개인정보가 탈취됐다. S대는 사건을 인지한 즉시 ‘개인정보 유출에 대한 안내 및 사과문’을 게재했다.

S대 관계자는 “피해 사실이 알려진 다음 홈페이지에 사과문을 공지했다”며 “피해 당사자인 학생들에게 민원을 받고 구제할 수 있는 창구를 개설했다”고 말했다. 이어 “취약점으로 지적된 암호화 조치가 미흡했던 부분은 곧바로 암호화 알고리즘 고도화 개선을 통해 작업을 마쳤다”고 덧붙였다.

다만 S대 관계자는 “전체 피해 학생 규모는 상급기관인 교육부에 보고했지만, 직접 피해 학생 수를 언급하기는 힘들다”고 말했다. 이어 “사고 발생 이후 학교에서는 암호화 알고리즘 고도화와 함께 학교에서 관리하고 있는 모든 사이트의 비밀번호 등 접속 보안사항 변경 등 각종 정보보안 조치를 강화했다”고 강조했다.

G대, 24시간 모니터링 등 유형별 대응 강화
G대는 홈페이지 해킹 공격으로 사용자의 이름, 아이디, 이메일, 암호화된 비밀번호가 유출됐다. 대학은 지난 6월 중순 이 같은 피해 사실을 알렸다. G대 보안담당 부처는 사건 이후 즉시 조치사항, 단계별 조치사항을 세분화해 보안을 강화했다.

G대 관계자는 “홈페이지 내 파일 다운로드 루트는 보안을 강화했고, 공격 파일 실행 방지 조치를 마쳤다”고 말했다. 이어 “올해 초 교육부 산하 교육사이버안전센터에서 직접 나와 홈페이지 보완 조치, 취약점 점검 조치 등 2회에 걸쳐 진행했다”며 “현장 실습관리, 학생포털 시스템 등 부속기관까지 점검을 마쳤다”고 밝혔다.

G대는 올해 2월에는 사이버보안 전문기업에 용역 컨설팅을 의뢰해 대학 내 모든 서버, 부속기관들, 모바일 캠퍼스도 보안 점검과 함께 모의해킹도 진행했다. 올해 상반기에는 사이버보안연구원도 개원했다. 또한 G대는 해시함수 알고리즘 방식인 SHA-256 등급도 충족했다. 현재 G대는 24시간 실시간 로그 모니터링을 하고 있으며, 웹 방화벽, 앱 공격 기법, 시그니처별 공격에도 대응 중이다. 최근 웹 방화벽의 공격 차단 건수는 2,000개를 넘기기도 했다.

D대, 교수 포함 전 직원 정보보호 강화 교육 진행
D대학은 홈페이지 취약점을 악용해 해킹 공격이 이뤄졌으며, 개인정보가 유출됐다. 이 대학은 대학 내 모든 홈페이지의 보안 관련 매뉴얼을 작성해 규정에 따라 관리해 왔다.

D대학 관계자는 “사이버 공격이 발생한 이후 홈페이지 취약점을 전반적으로 재점검해 부족한 부분을 보완했다”며 “모든 직원들에게도 개인정보보호와 정보보호 교육을 진행하고, 보안에 필요한 인력도 보충했다”고 밝혔다.

D대학은 “사건 이후에 교내 모든 시스템에 대한 전수조사를 몇 개월에 걸쳐 꼼꼼하게 진행했다”며 “종합 홈페이지, 각 단과대학, 대학원 등 빠짐없이 진행했다”고 밝혔다. 이 대학은 특히, 디자인 관련 홈페이지를 제작한 회사와 이번 사건이 연관되기도 했다.

한편 D대학은 사고 이후 300명 정도 되는 전체 대학 직원, 교수를 포함해 총 800~900명의 전체 교직원을 대상으로 온라인을 통해 개인정보보호 및 정보보호 교육을 진행했다고 강조했다.

H대, 서버 침투는 했지만 개인정보 유출은 없었다
H대는 해킹으로 개인정보가 유출됐으며, 이 같은 피해 사실에 대해 지난 6월 중순 ‘개인정보 침해 사실 공지’를 홈페이지에 게시하면서 학생들과 대학 교직원 등 관계자들에게 알렸다.

H대 관계자는 “홈페이지가 해킹 공격을 받았으며 불법 침입자가 서버에는 접속한 것이 확인됐지만, 보안 시스템에 접근해 살펴봤을 뿐 개인정보가 유출된 것은 아니었다”고 말했다. 이어 “대학 홈페이지는 DB에 무단 접근하는 것을 차단하기 위해 실시간 접근제어 모니터링을 실시하고 있다”며 “서버 공격 회피를 위해 방화벽을 추가로 구축하는 등 다양한 방면으로 보안조치를 강화하고 있다”고 안내했다.

K대 총동창회, 가입 필요 없는 홈페이지로 개편
K대 총동창회의 기존 홈페이지는 회원가입을 통해 개인정보를 저장해왔다. 하지만 해킹 공격으로 인해 아이디, 비밀번호, 이메일 주소, 휴대전화번호 등 최대 4개 항목이 유출됐다. 총동창회 측은 회원마다 유출 정보에는 조금씩 차이가 있다고 밝혔다.

K대 총동창회 관계자는 “조사에서는 파일 업로드 시 관리자 권한 및 파일 확장자 검증 누락, 비밀번호 평문 저장 등이 문제로 지적됐다”고 말했다. 이어 “사고 이후 기존 홈페이지를 폐쇄하고, 가입이 필요 없는 새 홈페이지로 전면 개편해 올해 10월쯤 재오픈했다”고 말했다.

K대는 현재까지 졸업 인원이 25만명이 넘는 것으로 알려졌다. 하지만 해킹 사고가 발생했던 이전 홈페이지의 가입 회원 수는 1만명에 못 미쳤다. 이 관계자는 “2월 무렵 기존 홈페이지를 폐기하면서 개인정보도 모두 삭제하고 가입자들에게 문자와 메일을 통해 안내를 마쳤다”며 “사고 인지 직후에는 홈페이지에도 사과문을 띄워 피해 사실을 공지했다”고 덧붙였다.
[김영명 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>