서강대학교 학생·동문·교직원 약 18만 명의 개인정보가 외부 해커의 공격으로 유출됐다. 학교 측은 통합로그인 계정과 관련된 정보 일부가 신원이 확인되지 않은 외부 세력의 공격을 받아 새나간 정황을 확인했다고 밝혔다. 유출된 정보에는 학번·사번, 이름, 소속, 이메일 주소, 휴대전화번호, 통합로그인 시스템의 암호화된 비밀번호가 포함됐다. 학교 측은 주민등록번호 등 민감한 개인정보는 유출 대상에 포함되지 않았다고 설명했지만, 암호화된 비밀번호가 새나간 만큼 전 구성원에게 즉시 비밀번호를 변경하라고 당부했다. 특히 이번 사고로 전자공학과에 재학했던 박근혜 전 대통령의 개인정보도 함께 노출된 것으로 확인돼 파장이 커지고 있다.

화요일 해외 IP 공격, 사흘 만에야 발견

학교 측 설명에 따르면 공격은 승인되지 않은 해외 IP 주소로부터 화요일에 시작됐다. 서강대는 이 사실을 사흘이 지난 금요일에야 파악했다. 학교는 금요일 홈페이지에 사과문을 올리고 학생, 졸업생, 교직원에게 유출 사실을 통지했으며, 다음날인 토요일 공식적으로 사고 내용을 발표했다.

서강대는 “사고 인지 즉시 보안 침해 대응 절차에 따라 긴급 조치를 취했다”고 밝혔다. 학교는 공격에 사용된 IP 주소를 차단하고 피해가 발생한 서비스에 대한 접근을 제한했다. 이어 관련 네트워크를 분리해 침입 확산을 막았다고 설명했다. 학교는 이와 함께 개인정보보호위원회와 교육부에 사고 내용을 신고했다고 밝혔다. 다만 추정되는 공격 주체나 정보 탈취에 사용된 구체적인 방법은 공개하지 않았다.

무엇이 새나갔나…“민감정보는 없다”지만 비밀번호는 변경해야

유출된 정보 항목은 학번·사번, 이름, 소속, 이메일 주소, 휴대전화번호, 통합로그인 시스템의 암호화된 비밀번호다. 서강대는 주민등록번호나 그 외 민감한 개인정보는 이번 유출 대상에 포함되지 않았다고 강조했다. 그럼에도 학교는 암호화된 로그인 비밀번호가 유출된 점을 고려해 전 구성원에게 즉시 비밀번호를 바꾸라고 요청했다.

학교는 또 유출 이후 발생할 수 있는 2차 피해를 경고했다. 출처가 불분명한 전화, 이메일, 문자메시지에 특히 주의해달라고 당부하면서 이런 연락이 유출된 정보를 악용해 추가 피해를 입히는 데 사용될 수 있다고 설명했다. 학교 측은 “사고 발생 즉시 비상 대응 조치를 완료했다”며 내부 서버 취약점을 점검하고 있고, 외부 사이버보안 업체와 협력해 모니터링 체계를 강화하고 있다고 밝혔다.

박근혜 전 대통령 정보도 포함…자퇴·편입생까지 파장

이번 유출로 전자공학과에 재학했던 박근혜 전 대통령의 개인정보도 노출된 것으로 나타났다. 서강대는 홈페이지에 개인정보 유출 여부를 확인할 수 있는 링크를 게시했는데, 박 전 대통령의 이름과 학번을 입력하면 개인정보가 유출 대상에 포함됐다는 확인 메시지가 뜬 것으로 전해졌다.

서강대 온라인 커뮤니티에는 학교를 자퇴하거나 다른 학교로 편입한 학생들도 자신의 개인정보가 유출됐다는 글이 올라왔다. 재학생·졸업생들의 반응은 격앙됐다. 자신을 서강대 재학생이라고 밝힌 한 블로거는 학교가 데이터 유출로 세간의 주목을 받게 된 상황이 “정말 부끄럽다”며 사고를 강하게 비판했다. 그는 “같은 학과 친구의 인스타그램 게시물을 보고서야 (유출 사실을) 알게 됐다”고 밝히며, 학교가 피해 당사자들에게 더 적극적으로 통지하고 2차 피해를 막기 위한 조치를 강화해야 한다고 촉구했다.

반복되지 않으려면…근본적 시스템 점검 과제

서강대는 공식 입장을 통해 이번 사고를 엄중하게 받아들이고 있다고 밝혔다. 학교는 “이번 사안을 매우 심각하게 받아들이고 있으며, 유사한 사고가 재발하지 않도록 시스템을 근본적으로 재검토하고 강화하겠다”고 강조했다. 아울러 사고 인지 직후 보안 침해 대응 절차에 따라 긴급 조치를 취했다는 점도 재차 설명했다.

다만 학교는 공격을 감행한 세력이 누구인지, 정보를 어떤 구체적 방식으로 빼갔는지는 아직 밝히지 않았다. 개인정보보호위원회와 교육부에 신고가 접수된 만큼 당국 차원의 조사 결과가 향후 사고의 전모를 파악하는 데 중요한 변수가 될 전망이다. 학내 구성원들 사이에서는 비밀번호 변경만으로 충분한 조치인지, 통합로그인 시스템 자체의 구조적 취약점은 없었는지에 대한 의문도 제기되고 있다. 18만 명에 이르는 대규모 개인정보가 걸린 사고인 만큼, 학교가 약속한 “시스템 근본적 재검토”가 실제로 어떤 형태의 보안 강화로 이어질지 지켜볼 필요가 있다.