서울 서대문구 연세대학교 신촌캠퍼스 정문 모습. 사진=뉴스1
서울 서대문구 연세대학교 신촌캠퍼스 정문 모습. 사진=뉴스1
연세대 포털서비스가 해킹돼 재학생과 졸업생 등 1만여명의 개인정보가 유출됐다. 대학의 개인정보 유출 사고가 반복되는 가운데, 지난해 전북대와 이화여대가 해킹 사고에 따른 개인정보 보호 의무 위반으로 총 9억6600만원의 과징금을 부과받은 전례도 주목된다.

22일 연합뉴스와 교육계 등에 따르면 연세대 정보통신처는 이날 '개인정보 유출 안내'를 통해 "연세 포털서비스에 대한 외부의 비인가 접근으로 일부 구성원의 개인정보가 유출된 사실이 확인됐다"고 공지했다.

유출된 정보는 재학생과 졸업생의 학번, 휴대전화 번호, 이메일 주소, 일부 시스템 관리 정보 등이다. 연세대는 주민등록번호 등 고유식별정보와 민감정보는 유출 대상에 포함되지 않았다고 설명했다.

연세대는 해킹 사실을 확인한 직후 유출 경로를 차단하고 수사기관에 수사를 의뢰했다. 개인정보가 유출된 구성원은 이날 오후 1시부터 연세대 대표 홈페이지 공지사항에서 개인별 유출 항목 등을 확인할 수 있다. 학교 측은 "이번 사고로 심려를 끼쳐드린 점 진심으로 사과드린다"며 재발 방지에 최선을 다하겠다고 밝혔다.

대학의 대규모 개인정보 유출 사고가 과징금 부과로 이어진 전례도 있다. 개인정보보호위원회는 지난해 6월 개인정보보호법상 안전조치 의무를 위반한 전북대와 이화여대에 각각 6억2300만원과 3억4300만원의 과징금을 부과했다.

전북대에서는 2024년 7월 학사행정정보시스템 해킹으로 학생과 평생교육원 회원 등 32만여명의 개인정보가 유출됐다. 개인정보위 조사 결과 해커는 비밀번호 찾기 페이지의 취약점을 이용해 학번을 확보한 뒤 약 90만차례의 무작위 대입 등을 통해 개인정보를 빼냈다. 유출 정보에는 주민등록번호 28만여건도 포함됐다.

같은 해 9월에는 이화여대 통합행정시스템이 해킹돼 학부생과 졸업생 8만3000여명의 개인정보가 유출됐다. 개인정보위는 두 대학 모두 시스템 구축 당시부터 존재한 보안 취약점을 개선하지 않았고, 야간과 주말 등 일과 시간 외 보안 모니터링에도 소홀했다고 판단했다. 이에 따라 과징금 부과와 함께 보안 관리 체계 개선 등을 권고했다.

교육기관의 개인정보 유출 문제는 두 대학에 국한되지 않는다. 최근 개인정보위의 국회 제출 자료에 따르면 2023년부터 올해 7월까지 교육기관에 내려진 개인정보 유출 관련 행정처분은 모두 38건으로 집계됐다된 것으로 전해진다.

이 가운데 대학과 전문학교 등에 내려진 처분은 23건이었다. 해당 처분과 관련된 유출 개인정보는 142만7000여건, 부과된 과징금은 총 13억8990만원에 달했다. 초·중·고교와 교육청을 대상으로 한 처분도 15건으로, 유출된 개인정보는 310만6000여건으로 조사됐다. 이들 15건 가운데 13건은 담당자의 부주의 등 업무상 과실에서 비롯됐다.

앞서 전북대와 이화여대 사례에서는 학사정보시스템의 취약점과 관리 소홀이 과징금 부과의 근거가 됐다. 연세대의 이번 사고는 현재 개인정보 유출 사실과 수사 의뢰 등이 알려진 단계로, 구체적인 침입 경위와 학교 측의 개인정보 보호 의무 위반 여부는 확인되지 않았다.

한경우 한경닷컴 기자 case@hankyung.com