국내 최대 자원봉사 플랫폼인 행정안전부의 ‘1365 자원봉사포털’이 외부 공격을 받아 이용자 8785명의 성명과 생년월일, 휴대전화 번호 등 개인정보가 유출된 것으로 나타났다. 가입자가 1500만명가량이나 되는 이 포털은 과거 텔레그램 성착취물 유포방인 ‘박사방’ 일당이 일부 피해자들의 개인정보를 빼낸 사실이 드러나 정보보안이 취약하다고 지적받은 바 있다.
29일 행정안전부가 조국혁신당 정춘생 의원실에 제출한 자료에 따르면 1365 자원봉사포털은 5월 19일 보안상 허점을 노린 외부 공격을 받았다. 행안부는 이튿날 피해 사실을 인지해 개인정보보호위원회에 796명의 개인정보가 유출됐다고 신고했다. 그러나 이후 조사과정에서 실제 피해 규모는 8785명으로 늘었다. 당초 신고한 규모의 약 11배다.
유출된 개인정보 항목은 피해자마다 달랐다. 당초 신고된 796명 가운데 426명은 성명·생년월일·휴대전화번호·연계정보(CI)가, 329명은 성명·생년월일·휴대전화번호가, 41명은 성명·생년월일·아이디(ID)가 유출되는 피해를 입었다.
행안부 관계자는 “사고 분석 과정에서 외부 공격자가 비정상적으로 내려받은 서버 기록 파일에 개인정보가 포함된 사실이 확인됐다”고 말했다.
행안부가 개인정보위에 제출한 유출 신고서를 보면 외부 공격을 인지한 직후 공격에 활용된 IP주소를 차단하고, 관리자 페이지의 개인정보 다운로드 기능을 차단했다.
다만 개인정보위는 사건이 발생한 지 넉 달이 지난 9월 21일 행안부에 개인정보 유출 사고와 관련한 자료 제출을 요구한 것으로 확인됐다. 정 의원은 이를 두고 “전형적인 ‘늑장행정’”이라고 비판했다.
정부 통합행정서비스 포털인 정부24에서도 개인정보가 유출된 것으로 확인됐다. 행안부가 정 의원실에 제출한 자료에 따르면 8월 17일 정부24 ‘어린이 포털’의 취약한 페이지를 노린 공격으로 서버(11개)에 있는 메모리 덤프파일이 탈취됐다. 메모리 덤프파일은 시스템이 특정 시점에 메모리에 저장하고 있던 내용을 파일 형태로 옮긴 것이다.
행안부가 이튿날 개인정보위에 보낸 ‘개인정보 유출 등 신고서’를 보면 주민등록번호 36개, 전화번호 3개, 아이디(ID)·비밀번호(PW) 55개가 유출됐다고 추정하고 있다. 다만 현재까지 정확한 피해규모는 파악되지 않았다.
앞서 행안부는 2024년과 2025년 정부24에서 성명과 주민등록번호, 교과성적, 졸업학교 등 개인정보가 유출되는 사고가 일어나 과징금 2억7300만원과 과태료 3백만원을 부과받았다.
정 의원은 “국민의 가장 민감한 개인정보가 탑재된 ‘정부24’ 등에서 잇따라 개인정보 유출 사고가 발생한 것은 큰 문제”라며 “‘AI 3대 강국’이 되기 위해서는 정보보안 강화와 사고 발생 시 조속한 조사 및 피해자 구제조치가 전제돼야 한다”고 지적했다.