지난해 11월 전국연합학력평가에 응시한 고교생 27만명의 성적과 이름, 소속 학교 등 개인정보가 유출된 가운데 학교 서열화와 학생들의 불안감을 부추기며 혼란이 가중되고 있다. 이 시험을 주관한 경기도교육청은 성적 출력 기간이 끝난 지난달 6일 이후에도 기간을 특정하지 않고 민감한 정보를 서버에 그대로 남겨뒀던 것으로 드러났다. 

21일 한정숙 경기도교육청 제2부교육감(오른쪽)이 학력평가 성적 유출과 관련해 브리핑을 하고 있다. 경기도교육청 제공

◆ ‘고교 순위’ ‘개인 성적’ 등 나돌아…고3 수험생 “불안하다” 호소

21일 교육계에 따르면 유출된 파일은 다양한 형태로 재가공돼 온라인상에 퍼지고 있다. 일부 온라인 카페에는 서울지역 고교들의 성적을 40위까지 순위를 매긴 표가 올라왔다. 전국 순위 등이 담긴 관련 자료들을 봤다는 누리꾼의 증언도 나오고 있다. 이에 누리꾼들은 “꼴찌학교가 어딘지 궁금하다”거나 “(상위권에) 우리 학교가 있어서 뿌듯하다”는 등의 반응을 보이고 있다. 

입시 업계에서도 “이번에 유출된 자료는 우수 학생이 어느 지역, 어떤 학교에 몰려있는지를 상세하게 분석할 지표로 사용될 수 있다”며 우려를 나타내고 있다. 사교육업계는 물론 대학 측에서도 입시에 참고자료로 활용할 수 있다는 설명이다.  

성적 유출 대상이 올해 대학 입시를 앞둔 고3 수험생(응시 당시 고2)이라는 점도 불안감을 키운다. 일부 고3 학생들은 심리적 압박을 호소하고 있다. 경기 성남시 분당신도시에 사는 고교생 A군(18)은 “파일 공유방에 해킹으로 유출된 자료가 올라와 친구들이 전체 성적 등을 확인해 속상하다”고 털어놨다. 

일부 수험생 온라인 카페에는 “사태가 심각하다”는 글들이 잇달아 올라오고 있다.

경기도교육청이 서버 보안에 둔감했다는 비판의 목소리도 커졌다. 도교육청은 이날 오후 긴급 간담회를 열어 해명에 나섰지만 여론을 진정시키지 못했다. 

경기도교육청에 따르면 전국연합학력평가는 전국의 시도교육청이 학생들의 학력 수준을 파악하기 위해 시행하는 시험으로, 서울·경기·인천·부산교육청이 돌아가며 시험을 주관한다.

경기도교육청은 지난해에 유출 사고가 난 11월 시험과 앞선 4월 시험을 주관했다. 유출된 11월 시험 자료에는 당시 경남교육청과 충남교육청을 제외한 전국 15개 시도교육청에서 이 시험에 응시한 당시 고등학교 2학년생 27만여명의 시험 성적과 소속 학교, 이름, 성별 등이 담겼다.

도교육청은 성적전산처리업체에 성적관리를 맡기고 이 업체로부터 응시생들의 성적이 담긴 이동식저장장치(USB)를 받은 뒤 도교육청 서버에 이를 올리면 개별 학교가 응시생들의 성적을 출력하는 식으로 성적 전산처리를 한다. 개별 학교는 해당 학교 학생들의 성적만 확인할 수 있으며 성적전산처리업체로부터 받은 USB는 경기교육청 북부청사 내 이중 잠금 시설의 보안 금고에 보관된다.

경기도교육청사

◆ USB 外 서버에 장기 보관…보관 기간·방법 등 명시하지 않아

문제가 된 11월 시험의 경우 12월7일 서버에 성적이 올라온 뒤 같은 달 12일부터 올해 1월6일까지 성적 출력 기간이었다. 정확한 자료 유출이 성적전산처리 담당 업체와 경기도교육청 어디에서 언제 이뤄졌는지 알 수 없지만, 자료가 인터넷에 유출된 건 출력 기간 마감이 45일이나 지난 이달 19일이었다. 그때까지도 성적은 도교육청 서버에 남아있었다.

도교육청 관계자는 출력 기간 이후에도 성적을 서버에 보관한 데 대해 “성적 출력 마감 이후에 민원이 추가로 발생할 수 있어 명시하지는 않았지만 통상 한 달가량 더 보관한 뒤 삭제한다”고 밝혔다.

보안업계에선 성적이 유출된 곳은 경찰 수사를 통해 밝혀져야 하지만 공공기관이 응시생들의 성적을 이처럼 서버에 오래 놔둔 것은 이례적이라고 지적한다. 한 업계 관계자는 “민감한 정보의 경우 이를 다루는 주체는 대부분 보안을 위해 정보의 보관 기간과 방법, 담당자 등을 명시하는데 그러지 않았다”고 비판했다.

이 사건과 관련해 경찰 수사가 진행되는 가운데 도교육청은 자료 유출에 따른 피해를 최소화하기 위해 사회관계망서비스(SNS) 업체 등에 개인정보가 담긴 자료의 삭제를 요청했다. 아울러 15개 시·도교육청에 피해 상황을 알리고 공동 대응과 협조를 구한 상태다.

도교육청은 조만간 유출 규모와 경위, 항목 등을 홈페이지에 공지하고 긴급 상황실을 중심으로 구제절차를 수립할 예정이다. 개인정보 유출자에 대해선 엄정한 법적 대응에 나서기로 했다.

앞서 지난 19일 새벽 모 인터넷 커뮤니티에서 한 네티즌이 경기도교육청 서버를 해킹해 지난해 11월 이 교육청이 주관한 전국연합학력평가 성적을 확인했다고 주장했다. 실제 암호화 메신저앱인 텔레그램에는 ‘2학년 개인성적표 전체’라는 파일이 유포됐다.