서울시의회 김인제 의원, 서울시 개인정보 관리체계 구멍 뚫렸다 자원봉사자 3만 명 정보 유출
- 서울시 · 의회 / 최성일 기자 / 2026-11-04 14:05:12
개인정보 관리·감독 사각지대 드러나... 행정국 소관 민간위탁·용역사업 개인정보 처리실태 전수조사해야
[코리아 이슈저널=최성일 기자] 서울특별시의회 김인제 의원(더불어민주당·구로2)은 3일 열린 서울시의회 행정자치위원회 행정국 소관 행정사무감사에서 서울시가 위탁한 자원봉사 온라인 교육 플랫폼에서 회원 전원의 개인정보가 유출된 사고를 짚고, 서울시의 부실한 위탁 관리·감독 체계를 강하게 질타했다.
서울시자원봉사센터가 제출한 서울시와 서울시자원봉사센터로부터 제출받은 자료에 따르면, 지난 9월 서울시자원봉사센터가 운영하는 온라인 교육 플랫폼 ‘V클래스’에서 등록 회원 29,553명 전원의 개인정보가 유출된 것으로 확인됐다.
유출된 개인정보는 회원 아이디(ID), 성명, 이메일 주소, 비밀번호, 휴대전화 번호 등이다. 다만 비밀번호와 휴대전화 번호는 암호화된 상태로 보관돼 있었으며, 주민등록번호와 금융정보 등은 수집·보유하지 않아 유출되지 않은 것으로 파악됐다.
더욱 심각한 문제는 해커가 시스템에 침입해 개인정보를 탈취하고 무단으로 스팸 문자까지 발송하는 동안 운영업체가 해킹 사실을 인지하지 못했다는 점이다.
사고 경위를 보면, 해커는 9월 19일 시스템 취약점을 악용해 악성코드(웹쉘)를 설치하고, 20일 데이터베이스 접근 권한을 탈취했다. 이어 21일에는 운영업체의 발신번호를 악용해 무단으로 스팸 문자를 발송했다.
그러나 운영업체는 자체 보안시스템을 통해 침해 사실을 발견하지 못했고, 22일 오전 외부 문자대행사로부터 이상 징후를 통보받고서야 사고를 인지했다. 최초 침입부터 약 67시간 동안 서울시 공공 플랫폼이 무방비로 열려 있었던 셈이다.
기본적인 보안 조치도 갖추지 않았다. 센터 보고서에는 사고 이후 ‘관리자 페이지 2단계 인증(2FA) 강제 적용’을 완료했다고 적혀 있다. 국가정보원과 한국인터넷진흥원(KISA) 보안 가이드라인의 필수 권고사항인 2단계 인증조차 없이, 비밀번호 하나만 뚫리면 3만 명의 데이터베이스가 열리는 상태로 운영해 온 것이다.
서울시 행정의 총괄 부서인 행정국은 자원봉사센터에 맡긴 자원봉사 활성화 업무가 ‘개인정보 처리 위탁’에 해당한다는 사실조차 인지하지 못해, 개인정보 위·수탁 계약 체결과 수탁자 공개 등 법적 의무를 전혀 이행하지 않았다. '개인정보 보호법' 제26조는 업무를 위탁할 때 목적 외 처리 금지, 안전성 확보조치 등을 문서로 정하고 수탁자를 교육·감독하도록 규정하고 있다. 서울시 정보보안과는 사고 이후인 9월 30일에야 전 부서에 관련 사례를 긴급 전파했다.
자원봉사센터가 민간업체에 업무를 다시 맡기는 과정에서도 적법한 승인 절차나 보안 점검은 이뤄지지 않았다. ‘서울시 → 자원봉사센터 → 민간업체’로 이어지는 전형적인 ‘재하청 관리 사각지대’가 생긴 것이다. 해당 업체는 지자체·공공기관 등 600~800여 개 고객사를 보유하고 한국중앙자원봉사센터·경기도자원봉사센터 등의 플랫폼도 운영하고 있다.
유출된 성명과 아이디, 이메일 주소 등 개인정보가 다른 사이트의 정보와 결합될 경우 정교한 피싱 범죄에 악용될 우려가 있다. 특히 해커가 운영업체의 발신번호를 도용해 실제 스팸 문자까지 발송한 사실이 확인된 만큼 스미싱·보이스피싱 등 2차 피해에 대한 각별한 주의가 요구된다.
그러나 현재 공개된 사고 대응 자료에는 수탁업체의 전담 상담실과 서울시자원봉사센터의 문의 창구, 관계기관 신고 방법 등이 안내돼 있을 뿐, 피해 발생 시 구체적인 보상 기준이나 법률지원 등 서울시 차원의 피해 구제 대책은 명확히 제시되지 않았다.
김인제 의원은 2일 행정사무감사에서 “서울시가 위탁한 업무에서 개인정보 유출 사고가 났는데, 서울시 행정을 총괄하는 행정국이 해당 업무가 개인정보 처리 위탁에 해당하는지조차 몰랐다는 것은 '개인정보 보호법'상 기본 의무도 몰랐다는 것”이라며 “해커가 악성코드를 심고 데이터베이스를 털어 스팸 문자를 보낼 때까지 센터와 수탁사는 무엇을 하고 있었나”라고 강하게 지적했다.
이어서 “이번 사고는 자원봉사센터 한 곳만의 예외적 사고로 볼 수 없다. 개인정보 처리 위탁 사실조차 인지하지 못했다는 것은 행정국 소관 다른 민간위탁·용역 사업에도 같은 보안 사각지대가 방치돼 있을 가능성이 높다는 방증”이라고 지적했다.
김 의원은 “순수한 마음으로 봉사에 나선 시민들이 믿고 맡긴 개인정보가 위탁사의 시스템 취약점 하나로 송두리째 털렸다. 이는 명백한 행정 신뢰의 추락”이라고 말하며, “행정국은 소관 모든 민간위탁·용역 사무의 개인정보 위·수탁 계약 여부와 재위탁·보안 점검 실태를 즉시 전수조사해 의회에 서면 보고하고, 자원봉사센터는 피해 봉사자를 위한 2차 피해 전담 상담·법률 지원 대책과 외주 업체 선정 시 강력한 보안 평가 기준을 마련해야 한다”고 시정을 촉구했다.
 |
| ▲ 서울시의회 김인제 의원 |
[코리아 이슈저널=최성일 기자] 서울특별시의회 김인제 의원(더불어민주당·구로2)은 3일 열린 서울시의회 행정자치위원회 행정국 소관 행정사무감사에서 서울시가 위탁한 자원봉사 온라인 교육 플랫폼에서 회원 전원의 개인정보가 유출된 사고를 짚고, 서울시의 부실한 위탁 관리·감독 체계를 강하게 질타했다.
서울시자원봉사센터가 제출한 서울시와 서울시자원봉사센터로부터 제출받은 자료에 따르면, 지난 9월 서울시자원봉사센터가 운영하는 온라인 교육 플랫폼 ‘V클래스’에서 등록 회원 29,553명 전원의 개인정보가 유출된 것으로 확인됐다.
유출된 개인정보는 회원 아이디(ID), 성명, 이메일 주소, 비밀번호, 휴대전화 번호 등이다. 다만 비밀번호와 휴대전화 번호는 암호화된 상태로 보관돼 있었으며, 주민등록번호와 금융정보 등은 수집·보유하지 않아 유출되지 않은 것으로 파악됐다.
더욱 심각한 문제는 해커가 시스템에 침입해 개인정보를 탈취하고 무단으로 스팸 문자까지 발송하는 동안 운영업체가 해킹 사실을 인지하지 못했다는 점이다.
사고 경위를 보면, 해커는 9월 19일 시스템 취약점을 악용해 악성코드(웹쉘)를 설치하고, 20일 데이터베이스 접근 권한을 탈취했다. 이어 21일에는 운영업체의 발신번호를 악용해 무단으로 스팸 문자를 발송했다.
그러나 운영업체는 자체 보안시스템을 통해 침해 사실을 발견하지 못했고, 22일 오전 외부 문자대행사로부터 이상 징후를 통보받고서야 사고를 인지했다. 최초 침입부터 약 67시간 동안 서울시 공공 플랫폼이 무방비로 열려 있었던 셈이다.
기본적인 보안 조치도 갖추지 않았다. 센터 보고서에는 사고 이후 ‘관리자 페이지 2단계 인증(2FA) 강제 적용’을 완료했다고 적혀 있다. 국가정보원과 한국인터넷진흥원(KISA) 보안 가이드라인의 필수 권고사항인 2단계 인증조차 없이, 비밀번호 하나만 뚫리면 3만 명의 데이터베이스가 열리는 상태로 운영해 온 것이다.
서울시 행정의 총괄 부서인 행정국은 자원봉사센터에 맡긴 자원봉사 활성화 업무가 ‘개인정보 처리 위탁’에 해당한다는 사실조차 인지하지 못해, 개인정보 위·수탁 계약 체결과 수탁자 공개 등 법적 의무를 전혀 이행하지 않았다. '개인정보 보호법' 제26조는 업무를 위탁할 때 목적 외 처리 금지, 안전성 확보조치 등을 문서로 정하고 수탁자를 교육·감독하도록 규정하고 있다. 서울시 정보보안과는 사고 이후인 9월 30일에야 전 부서에 관련 사례를 긴급 전파했다.
자원봉사센터가 민간업체에 업무를 다시 맡기는 과정에서도 적법한 승인 절차나 보안 점검은 이뤄지지 않았다. ‘서울시 → 자원봉사센터 → 민간업체’로 이어지는 전형적인 ‘재하청 관리 사각지대’가 생긴 것이다. 해당 업체는 지자체·공공기관 등 600~800여 개 고객사를 보유하고 한국중앙자원봉사센터·경기도자원봉사센터 등의 플랫폼도 운영하고 있다.
유출된 성명과 아이디, 이메일 주소 등 개인정보가 다른 사이트의 정보와 결합될 경우 정교한 피싱 범죄에 악용될 우려가 있다. 특히 해커가 운영업체의 발신번호를 도용해 실제 스팸 문자까지 발송한 사실이 확인된 만큼 스미싱·보이스피싱 등 2차 피해에 대한 각별한 주의가 요구된다.
그러나 현재 공개된 사고 대응 자료에는 수탁업체의 전담 상담실과 서울시자원봉사센터의 문의 창구, 관계기관 신고 방법 등이 안내돼 있을 뿐, 피해 발생 시 구체적인 보상 기준이나 법률지원 등 서울시 차원의 피해 구제 대책은 명확히 제시되지 않았다.
김인제 의원은 2일 행정사무감사에서 “서울시가 위탁한 업무에서 개인정보 유출 사고가 났는데, 서울시 행정을 총괄하는 행정국이 해당 업무가 개인정보 처리 위탁에 해당하는지조차 몰랐다는 것은 '개인정보 보호법'상 기본 의무도 몰랐다는 것”이라며 “해커가 악성코드를 심고 데이터베이스를 털어 스팸 문자를 보낼 때까지 센터와 수탁사는 무엇을 하고 있었나”라고 강하게 지적했다.
이어서 “이번 사고는 자원봉사센터 한 곳만의 예외적 사고로 볼 수 없다. 개인정보 처리 위탁 사실조차 인지하지 못했다는 것은 행정국 소관 다른 민간위탁·용역 사업에도 같은 보안 사각지대가 방치돼 있을 가능성이 높다는 방증”이라고 지적했다.
김 의원은 “순수한 마음으로 봉사에 나선 시민들이 믿고 맡긴 개인정보가 위탁사의 시스템 취약점 하나로 송두리째 털렸다. 이는 명백한 행정 신뢰의 추락”이라고 말하며, “행정국은 소관 모든 민간위탁·용역 사무의 개인정보 위·수탁 계약 여부와 재위탁·보안 점검 실태를 즉시 전수조사해 의회에 서면 보고하고, 자원봉사센터는 피해 봉사자를 위한 2차 피해 전담 상담·법률 지원 대책과 외주 업체 선정 시 강력한 보안 평가 기준을 마련해야 한다”고 시정을 촉구했다.
[ⓒ 코리아 이슈저널. 무단전재-재배포 금지]
