서강대 '개인정보' 유출....박근혜 전 대통령 정보까지 털렸다

서강대 재학생과 졸업생, 교직원 등의 개인정보 약 18만건이 외부 공격으로 유출된 정황이 확인됐다.

현 재학생뿐 아니라 학교를 떠난 졸업생과 과거 서강대에 재학했던 이들의 정보까지 포함된 것으로 추정되면서 파장이 커지고 있다.

서강대는 15일 통합 로그인 계정 정보에 대해 신원 미상의 외부 공격으로 일부 정보가 유출된 정황을 확인했다고 밝혔다.

이번 공격으로 유출된 것으로 파악된 정보에는 학번과 사번, 성명, 아이디, 소속, 이메일 주소, 휴대전화 번호, 암호화된 통합 비밀번호 등이 포함됐다. 단순한 이름이나 연락처뿐 아니라 학교 계정과 연결된 정보가 함께 노출됐다는 점에서 추가 피해 가능성에 대한 우려도 나온다.

서강대에 따르면 외부 공격은 지난 11일 해외 비인가 IP가 학교 시스템에 접근하면서 발생했다. 학교 측은 사흘 뒤인 14일 해당 사고를 탐지했고, 공격 IP를 차단하는 동시에 관련 서비스의 접근 제한과 망 분리 등 긴급 조치에 들어갔다.

사고를 인지한 직후 개인정보보호위원회와 교육부 등 관계 기관에도 신고했다. 현재는 내부 서버의 취약점을 점검하는 한편 외부 보안 전문업체와 함께 추가 피해 여부를 확인하고 있다.

서강대 관계자는 긴급 대응 조치는 완료했다며 내부 서버 취약점 등을 점검하고 모니터링 체계를 강화하는 등 추가 피해를 막기 위한 방안을 마련하고 있다고 설명했다.

졸업생·자퇴생 등 과거 구성원 정보도 포함됐나

이번 개인정보 유출 대상은 현재 학교에 다니는 학생과 교직원에만 국한되지 않을 가능성이 제기되고 있다.

서강대 측은 졸업생은 물론 과거 서강대에 다니다 학교를 떠난 자퇴생, 다른 대학에 재학하면서 서강대에 다시 입학하기 위해 시험을 치른 반수생·재수생 등의 정보도 포함된 것으로 추정하고 있다.

학교의 통합 로그인 시스템에 과거 구성원의 계정 정보가 남아 있었던 경우 해당 정보 역시 이번 유출 대상에 포함될 수 있기 때문이다.

실제로 서강대 온라인 커뮤니티에는 자퇴생이나 전적 대학이 서강대였던 사람들의 개인정보가 유출됐다는 내용의 글도 잇따라 올라오고 있다. 개인정보 유출 범위가 현재 재학생을 넘어 과거 학교 구성원까지 광범위하게 이어질 수 있다는 우려가 나오는 이유다.

박근혜 전 대통령 개인정보도 유출된 것으로 추정

특히 이번 유출 사태에서는 박근혜 전 대통령의 개인정보도 포함된 것으로 보이는 정황이 확인됐다.

서강대 전자공학과 1970학번인 박 전 대통령의 이름과 학번을 학교가 마련한 개인정보 유출 여부 확인 페이지에 입력하면 개인정보 항목이 유출된 것으로 확인됐다는 안내가 나타나는 것으로 알려졌다.

해당 학번은 과거 공개된 자료를 통해 확인되는 정보와도 일치한다. 2007년 당시 한나라당 대통령 후보 경선에 출마했던 박 전 대통령 측 캠프가 인터넷에 공개한 성적증명서에 적힌 학번과 같은 것으로 전해졌다.

다만 실제로 어떤 개인정보가 어느 범위까지 유출됐는지에 대해서는 학교 측의 추가 조사가 필요한 상황이다. 암호화된 비밀번호가 포함된 만큼 비밀번호 자체가 그대로 노출된 것인지, 암호화 방식과 복호화 가능성은 어떤지 등에 대해서도 확인이 필요하다.

학생·졸업생 “보안 관리했는데 어처구니없어”

학생과 졸업생들은 학교의 개인정보 관리에 강한 불만을 나타내고 있다.

특히 서강대가 그동안 통합 로그인 계정의 비밀번호를 6개월마다 변경하도록 하고, 비밀번호를 바꾸지 않을 경우 로그인을 제한하는 방식으로 계정 보안을 관리해왔다는 점에서 불만이 더욱 커지고 있다.

학교 측은 사고 사실을 확인한 뒤 재학생과 교직원에게 관련 내용을 공지했다고 밝혔다.

서강대 관계자는 “어제 늦은 저녁 공격 사실을 알게 됐고, 오늘 새벽 재학생과 교직원에게 메일로 관련 공지 및 사과문을 보냈다”며 “학생들이 사용하는 수업 알림 앱으로 추가 공지를 보낼 예정”이라고 설명했다.

이번 사고로 이름과 연락처뿐 아니라 학교 계정 정보와 소속, 이메일, 암호화된 비밀번호 등이 함께 유출된 만큼 개인정보를 이용한 피싱이나 사칭, 다른 사이트 계정에 대한 연쇄적인 접근 시도 등에 대한 주의도 필요해졌다.

서강대는 현재 정확한 유출 규모와 정보 항목을 추가로 확인하고 있으며, 조사 결과에 따라 후속 조치를 안내할 예정이다.