개인정보위, 안전 조치 의무 위반 판단... 전북대 32만 명, 이화여대 8만 명 유출 확인

학사 정보시스템 관리를 소홀히 하여 대규모 개인정보 유출 사고를 일으킨 전북대학교와 이화여자대학교가 개인정보보호위원회로부터 총 9억 6600만 원의 과징금을 부과받았다.

개인정보위는 12일 개인정보보호법상 안전 조치 의무를 위반한 전북대에 6억 2300만 원, 이화여대에 3억 4300만 원의 과징금을 부과했다고 밝혔다.

개인정보위 조사 결과에 따르면, 전북대는 지난해 7월 28~29일 학사행정정보 시스템이 해킹당해 학생 및 평생교육원 회원 32만여 명의 개인정보(주민등록번호 28만여 건 포함)가 탈취된 것으로 확인됐다. 해커는 비밀번호 찾기 페이지의 취약점을 악용했으며, 전북대는 기본적인 보안 장비는 갖췄으나 일과 시간 외 모니터링을 소홀히 하여 비정상적인 트래픽 증가를 뒤늦게 인지한 것으로 드러났다. 개인정보위는 전북대에 과징금 외 과태료 540만 원을 부과하고, 해당 사실을 대학 홈페이지에 공표하도록 명령했으며 책임자 징계도 권고했다.

이화여대의 개인정보 유출은 지난해 9월 2~3일 발생했다. 교내 통합행정 시스템 침입으로 학부생 및 졸업생 8만 3000여 명의 개인정보(주민등록번호 포함)가 유출된 것으로 파악됐다. 개인정보위는 이화여대 보안 시스템의 취약점이 2015년 시스템 구축 당시부터 존재했으며, 기본적인 보안 체계 외 외부 공격 대응이 미흡했다고 지적했다. 특히 일과 시간 외 모니터링이 제대로 이루어지지 않았다고 판단했다. 이에 이화여대에 과징금과 함께 상시 모니터링 체계 구축, 책임자 징계 등을 권고했다.

개인정보위에 따르면 최근 대학에서 개인정보 유출 사고가 잇따르고 있으며, 지난해부터 지난달 말까지 전국 대학에서 신고된 개인정보 유출 신고는 21건에 달한다. 개인정보위는 교육부에 전국 대학 학사정보관리시스템의 개인정보 관리가 대학 평가 등에 반영될 수 있도록 검토를 요청할 예정이다.