해커 접속 경로인 포트 개방하고 암호화 미흡…역대 최대 수준? “공공기관 각별 주의 필요”
지난해 경찰 등 관계기관의 합동 수사 결과에 따르면 북한 정찰총국 산하 해커 조직으로 알려진 '라자루스'가 법원 내부망을 해킹해 2021년 1월부터 2023년 2월까지 서버에 저장된 진술서와 혼인관계증명서, 진단서 등 1014GB 분량의 데이터를 탈취한 것으로 드러났다.
이 사건과 관련해 개인정보위는 법원행정처가 이용상 편의를 위해 내부망-외부망 간 상호 접속이 가능하도록 포트(네트워크 통신 통로)를 개방‧운영했고, 이로써 포트를 통해 침입한 해커에 의해 내부망 전자소송 서버(스토리지)에 저장된 다량의 소송 관련 문서가 유출됐다고 지적했다.
유출된 데이터 중 경찰 수사로 복원이 이루어진 4.7GB의 파일을 분석한 결과, 1만 7998명의 개인정보(이름, 주민등록번호, 연락처, 주소, 성별 등)가 새롭게 확인된 것으로 알려졌다.
법원행정처는 암호화 등 기본적인 안전조치조차 미흡했던 것으로 밝혀졌다. 소송 관련 문서(PDF 파일로 변환)를 전자소송 서버에 저장‧보관하면서 주민등록번호가 포함된 소송문서를 암호화하지 않았고, 내부망에 위치한 ‘인터넷가상화웹서버’에 백신 소프트웨어 등 보안프로그램을 설치하지 않고 운영했다.
또한 2023년 2월 악성파일을 탐지하고 침해사고 자체조사를 진행한 법원행정처는 2023년 4월 법원 전산망에서 개인정보가 유출된 정황을 인지하였음에도, 약 8개월 뒤인 2023년 12월 7일 개인정보 유출 신고를 하고 홈페이지에 유출 관련 안내문을 게시한 사실도 확인됐다.
이에 따라 개인정보위는 법원행정처에 과징금 2억 700만 원과 과태료 600만 원을 부과하고 관련 내용을 공표하도록 했다. 또 개인정보처리시스템 운영체계 및 조직‧인력, 관련 규정 등 보호체계 전반에 걸쳐 안전조치 실태를 점검하고 개인정보 보호조치 수준 향상 방안을 마련하도록 개선 권고했다.
개인정보위 관계자는 "대량의 개인정보를 처리하고 있는 공공기관은 보안 프로그램 설치·운영이나 각종 운영체제 등에 대한 보안 업데이트 등 안전조치와 관련된 의무 사항을 반드시 이행하는 것은 물론, 외부의 불법접근 시도에 대해서도 상시 모니터링하는 등 각별한 주의가 필요하다"고 말했다.
손우현 기자 woohyeon1996@ilyo.co.kr