이름·학번 넘어 금융 정보까지… 국립부경대 해킹 사태가 보여준 씁쓸한 보안 민낯
이름·학번 넘어 금융 정보까지… 국립부경대 해킹 사태가 보여준 씁쓸한 보안 민낯
솔직히 저는 대학교 행정 시스템이 이 정도로 허술할 거라고는 생각하지 못했습니다. 국립부경대 등록금 수납관리시스템이 해킹을 당해 학생과 교직원 5천108명의 이름, 학번, 등록금 수납액, 가상계좌가 한꺼번에 유출됐습니다. 단순한 이름이 아니라 금융 정보까지 털렸다는 점에서, 이번 사고는 단순 실수로 넘기기 어렵습니다.
개인정보 유출, 이번엔 어디까지 털렸나
이번에 유출된 정보를 보면서 제가 제일 먼저 든 생각은 "이름이나 학번이야 어디서든 흘러나올 수 있다 쳐도, 가상계좌까지?"였습니다. 가상계좌(Virtual Account)란 개인에게 일시적으로 부여되는 고유 계좌번호로, 등록금 납부 등 금융 거래에 직접 사용되는 민감한 정보입니다. 이 번호가 제3자에게 넘어갈 경우 스미싱(Smishing), 즉 문자 메시지를 이용한 금융 사기에 악용될 가능성이 충분합니다.
피싱(Phishing)이란 신뢰할 수 있는 기관을 사칭해 개인정보나 금융 정보를 빼내는 사기 수법입니다. 유출된 학번과 이름, 가상계좌 정보가 조합되면 "부경대 등록금 환불 안내"처럼 그럴듯한 문자를 보내 학생들을 속이는 것이 어렵지 않습니다. 제가 실제로 지인에게 비슷한 스미싱 문자가 온 것을 옆에서 봤을 때, 학교 이름까지 정확히 들어가 있으면 의심하기 정말 어렵겠다는 생각이 들었습니다.
피해 범위를 정리하면 다음과 같습니다.
- 이름 및 학번: 신원 특정에 활용 가능한 기본 개인식별 정보
- 등록금 수납액: 금융 거래 내역에 해당하며, 개인의 재정 상황을 간접적으로 드러냄
- 가상계좌 번호: 스미싱·보이스피싱 등 2차 금융 범죄에 직접 악용 가능성 있음
개인정보보호위원회(출처: 개인정보보호위원회)에 따르면, 금융 정보가 포함된 개인정보 유출은 단순 이름·연락처 유출보다 2차 피해 발생 위험이 현저히 높은 것으로 분류됩니다. 이번 사고가 단순한 행정 실수가 아니라 사이버 범죄 피해라는 점에서, 피해 학생들은 지금 당장 관련 금융 기관에 유출 사실을 알리고 가상계좌 사용 내역을 점검해 보시기를 권합니다.
보안 취약점, 왜 대학은 늘 뚫리는가
이런 사고가 날 때마다 "왜 대학은 맨날 털리나"라는 말이 나옵니다. 어떤 분들은 대학 측이 의도적으로 보안 투자를 줄인 게 아니겠냐고 보는 시각도 있는데, 저는 그보다 구조적인 문제가 더 크다고 봅니다. 대학의 IT 예산은 교육부 지침에 따라 책정되고, 보안 인프라 업그레이드보다 교육 콘텐츠나 시설에 우선순위가 쏠리는 경우가 많습니다.
취약점 분석(Vulnerability Assessment)이란 시스템 내부의 보안 허점을 사전에 식별하고 위험도를 측정하는 과정입니다. 정기적으로 이 과정을 거쳐야 공격자가 침입하기 전에 구멍을 막을 수 있는데, 많은 교육기관이 이를 연 1회 형식적으로 진행하거나 아예 외주 업체에 통째로 맡겨버립니다. 문제는 외주 업체조차 납기일에 맞춰 보고서를 제출하는 데 급급한 경우가 적지 않다는 것입니다.
제가 대학 재학 시절 IT 동아리에서 캠퍼스 내부 네트워크를 살펴볼 기회가 있었는데, 솔직히 이건 예상 밖이었습니다. 10년이 넘은 레거시 시스템(Legacy System), 즉 노후화된 구형 소프트웨어가 현역으로 돌아가고 있었고, 패치(Patch)가 적용되지 않은 버전이 그대로 운영되고 있었습니다. 패치란 소프트웨어의 보안 결함이나 오류를 수정하기 위해 배포되는 업데이트 파일입니다. 이걸 적용 안 하면 이미 알려진 공격 방법으로도 뚫릴 수 있습니다. 그때 느낀 불안감이 이번 사고를 보면서 다시 떠올랐습니다.
한국인터넷진흥원(KISA)이 발표한 자료에 따르면(출처: 한국인터넷진흥원), 교육 기관은 금융이나 의료 기관에 비해 보안 예산 편성 비율이 낮고, 전담 보안 인력이 없는 경우도 상당수인 것으로 나타났습니다. 이번 부경대 해킹이 단지 이 대학만의 문제가 아닌 이유가 여기에 있습니다. 보안 투자를 소홀히 하면 언제든 비슷한 일이 반복될 수 있다는 점에서, 제 경험상 이건 구조적 개선 없이는 사과문만으로 해결될 문제가 아닙니다.
대응 방안, 사과문 말고 실질적으로 할 수 있는 것
"자체 파악 중"이라는 말을 들을 때마다 저는 좀 답답해집니다. 물론 사고 직후에는 정확한 피해 범위를 파악하는 데 시간이 걸린다는 점은 이해합니다. 하지만 이 말이 반복될 때, 피해자 입장에서는 "그래서 저는 지금 뭘 해야 하나요?"라는 물음이 먼저 떠오릅니다. 대학이 발 빠르게 대응 방안을 안내해 주지 않는다면, 개인이라도 먼저 움직이는 것이 현명합니다.
사고 대응(Incident Response)이란 보안 침해 사고가 발생했을 때 피해를 최소화하고 시스템을 복구하기 위해 취하는 일련의 절차입니다. 이 절차가 빠를수록 2차 피해를 줄일 수 있습니다. 기관 입장에서도, 개인 피해자 입장에서도 지금 당장 취해야 할 행동이 다릅니다.
피해를 입은 분들이 지금 당장 취할 수 있는 현실적인 조치는 다음과 같습니다.
- 금융기관 연락 및 가상계좌 거래 내역 점검: 유출된 가상계좌 번호를 통한 이상 거래가 없는지 즉시 확인합니다.
- 개인정보 노출 신고: 개인정보보호위원회 또는 금융감독원에 피해 사실을 접수하여 공식 기록을 남깁니다.
- 스미싱 문자 주의: 학교 이름이나 등록금 관련 문자가 오면 링크를 클릭하지 말고, 직접 학교 공식 번호로 확인합니다.
- 비밀번호 변경: 유출된 학번이나 이름이 조합된 비밀번호를 사용하고 있었다면, 관련 계정 비밀번호를 즉시 변경합니다.
기관 차원에서는 사고가 난 뒤에야 움직이는 사후약방문식 대응이 아니라, 침투 테스트(Penetration Test), 즉 실제 해커처럼 시스템을 공격해 취약점을 미리 찾아내는 모의 해킹 점검을 정기적으로 의무화해야 한다는 의견이 있습니다. 저도 이 방향이 맞다고 봅니다. 사이버 공격 수법이 날로 고도화되는 만큼, 방어 시스템도 그에 걸맞게 진화해야 합니다.
자주 묻는 질문
Q. 부경대 해킹으로 제 가상계좌가 유출됐는지 어떻게 확인하나요?
A. 현재 부경대 측에서 피해자에게 개별 통지를 진행 중인 것으로 알려져 있습니다. 통지를 받지 못했더라도 본인이 부경대 학생 또는 교직원이라면, 대학 공식 공지를 확인하시고 금융기관에 직접 연락해 이상 거래 여부를 점검해 보시는 것이 좋습니다. 불안하다면 개인정보보호위원회 콜센터(국번 없이 182)에 문의하실 수 있습니다.
Q. 가상계좌 번호가 유출되면 실제로 돈이 빠져나갈 수 있나요?
A. 가상계좌 번호만으로 직접 출금이 이루어지는 것은 아닙니다. 다만 학번, 이름, 계좌 정보가 조합되면 스미싱이나 보이스피싱 시나리오를 꽤 정교하게 만들 수 있습니다. "등록금 환불", "납부 오류 수정" 같은 명목으로 연락이 올 경우 반드시 학교 공식 채널을 통해 직접 확인하시기 바랍니다.
Q. 대학이 이런 해킹을 예방하려면 어떻게 해야 하나요?
A. 완벽한 방어는 없다는 시각도 있지만, 저는 정기적인 취약점 분석과 침투 테스트, 그리고 전담 보안 인력 확보가 최소한의 기본이라고 봅니다. 특히 등록금처럼 금융 정보와 연동된 시스템은 금융권 수준의 보안 기준을 적용할 필요가 있습니다. 한국인터넷진흥원이 제공하는 중소기관 대상 보안 점검 지원 서비스를 활용하는 것도 현실적인 방법입니다.
Q. 개인정보가 유출됐을 때 법적으로 보상받을 수 있나요?
A. 개인정보보호법에 따라 기관의 관리 소홀이 입증되면 손해배상을 청구할 수 있습니다. 다만 실제 소송으로 이어지는 경우는 많지 않고, 피해 입증이 어렵다는 현실적인 한계가 있습니다. 개인정보보호위원회에 피해 신고를 먼저 접수해두면 향후 법적 절차에서 유리한 증거 자료가 될 수 있습니다.
Q. 이번 사고, 부경대만의 문제일까요?
A. 솔직히 저는 아니라고 봅니다. 보안 예산이 부족한 교육기관이라면 어디든 비슷한 취약점을 안고 있을 가능성이 있습니다. 이번 사고를 계기로 전국 대학들이 보안 점검에 나서야 한다는 의견이 많은데, 저도 그 방향이 맞다고 생각합니다. 반복되는 사고를 막으려면 개별 기관의 자율에만 맡길 것이 아니라, 교육부 차원의 보안 기준 강화가 필요합니다.
이번 부경대 해킹 사고를 보면서, 결국 가장 큰 피해는 아무런 잘못도 없는 학생들이 고스란히 떠안는다는 점이 가장 마음에 걸립니다. 기관이 사과문을 올리고 피해 파악에 나서는 동안, 피해자들은 혹시 내 계좌가 악용되지는 않을까 불안한 하루를 보내야 합니다. 지금 부경대 학생이거나 교직원이라면, 대학의 공식 공지를 확인하고 금융 거래 내역을 점검하는 것부터 시작하시기를 권합니다. 사고는 이미 났지만, 2차 피해는 막을 수 있습니다.
--- 참고: https://www.instagram.com/reel/DfFKm7RMcF_/?xtok=ZGdocmYxbGwyZTA1
