경기 수원시의 경기대학교가 재학생과 졸업생 1만여명의 주민등록번호와 이름, 학번, 기초생활보장 수급자 여부 등이 포함된 ‘민감한’ 개인 정보를 유출했다가 논란이 커지자 뒤늦게 공개 사과했다. 지난달 한 졸업생으로부터 유출 사실을 전달받은 학교 측은 최근까지 피해를 공개하거나 사과하지 않다가 홈페이지에 사과문을 올렸다.
22일 경기대 등에 따르면 지난 20일 학교 재학생들이 이용하는 온라인 커뮤니티 ‘에브리타임’에 ‘경기대 개인 정보 노출 피해’라는 제목의 게시글이 올라왔다.
자신을 졸업생이라고 밝힌 해당 글 작성자는 “온라인 검색 중 학생들의 매우 민감한 개인 정보가 담긴 파일을 발견했다”며 “저를 포함해 1만명 넘는 학생들의 개인 정보가 노출돼 있었다”고 적었다.
문제의 파일은 2020년 1학기부터 2021년 2학기까지 총 4학기의 국가장학금 Ⅱ 유형 지급자 명단인 것으로 파악됐다. 학기당 5000여명의 명부가 정리돼 있어 중복된 인원을 제외하더라도 피해자 수는 1만명을 넘을 것으로 추산된다.
해당 파일에는 이름과 학번뿐 아니라 주민등록번호와 학년, 학과, 국가장학금 지급자 선정에 필요한 소득분위, 기초생활보장 수급자 및 차상위계층 여부 같은 민감한 정보도 포함된 것으로 전해졌다.
게시물 작성자는 “해당 파일이 어떻게 악용될지 모르니 피해자들에게 알려야 한다고 생각했다”며 “그러나 학교 측은 의문을 제기했음에도 쉬쉬하고만 있어 답답한 마음에 글을 올렸다”고 덧붙였다.
경기대는 논란이 커지자 뒤늦게 홈페이지에 ‘안내 및 사과문’을 올려 “머리 숙여 진심으로 사과드린다”며 “개인 정보가 불의의 사고로 유·노출된 것으로 확인됐다”고 인정했다.
이어 “노출 사실을 지난달 2일 인지하고 즉시 포털사이트에 파일 다운로드 중지와 해당 파일의 삭제 조처를 하였고 고강도로 경위 조사를 하고 있다”고 덧붙였다.
그러면서 필터링 시스템 신설과 보안 강화 조치, 스미싱 등의 피해 예방을 함께 안내했다.
경기대 측의 자체 조사 결과 해당 문건은 실제 학교에서 작성된 명부로, 학교 홈페이지에 게재되지는 않았으나 구글 검색을 통해 외부 열람이 가능한 상태였던 것으로 파악됐다.
이 같은 유출이 전산상의 오류로 발생했는지, 관련자의 실수에 의한 것인지에 대해선 조사가 진행되고 있다.
하지만 학교 측은 해당 게시글을 삭제하면서도 피해 사실을 곧바로 통보하거나 공개하지 않아 빈축을 사고 있다. 유출 피해와 구제 방안 안내 등의 홈페이지 공지는 사과문과 함께 뒤늦게 올려졌다. 현행 개인정보보호법상 개인 정보가 유출됐다는 사실을 인지하면 지체 없이 해당 정보 주체에게 유출된 개인 정보 항목과 경위 등을 알려야 한다.
경기대는 앞서 2012년에도 교육대학원생 248명의 개인 정보 유출로 곤욕을 치른 바 있다. 당시 문건에도 이름과 학번, 휴대전화번호, 학비 납부 여부 등의 신상정보가 구체적으로 담겼던 것으로 알려졌다.