[단독] 초보 해킹에 연구자 12만명 개인정보 털렸다…48억 보안 예산에도 개선책 ‘0’

국가 R&D 지원의 핵심 공공기관이 초보적인 해킹 기법에 당해, 연구자 12만명의 개인정보가 유출됐다. 17년 동안 정보보안을 위한 시스템 재정비가 없었고, 정보보안 예산이 제대로 집행되지 않아 생긴 일이다.

국회 교육위원회 진선미 더불어민주당 의원이 한국연구재단으로부터 받은 자료에 따르면, 지난 6월 한국연구재단 논문투고시스템(JAMS) 이용자 12만여명의 개인정보가 ‘URL 파라미터 변조’를 통해 유출됐다. 유출자 1559명 명의로 특정 학회에 무단 가입되는 등 실제 피해로 이어진 것으로 드러났다.

URL 파라미터 변조는 기초적 수준의 해킹기법으로 평가받는다. 해커가 URL 주소 뒤에 붙은 정보만 바꿔 접속해 다른 사용자의 정보를 열람하는 방식이다. 이에 “중·고급 해킹을 방어하기 위해 매년 사이버 보안 점검을 하고 있다”는 한국연구재단 답변과 달리, 정보 보안에 안일했다는 지적이 나온다.

2008년 JAMS 시스템 개발 이후, 재단은 정보 보안 개선을 위한 시스템 재구축이 한 차례도 안했던 것으로 드러났다. “개인정보 보호 관련 법이 2010년대 중반 제정됐다”는 이유였다. JAMS에는 회원가입 시 이중 인증 기능조차 없었다. 공공기관은 정보보호 관리체계 인가 제도인 ISMS 인증 의무화 대상이 아니라, ISMS 인증을 받지도 않았다.

과학기술정보통신부 정보보안·개인정보보호 점검 결과 5년 연속(2021년부터 2025년까지) 정보보안 분야에서 ‘미흡’ 평가를 받았지만, 개선 조치는 없었다. 같은 기간 정보 보안 예산으로 48억 2200만원이 배정됐지만, 시스템 유지·보수에만 집행한 것이다.

해킹 후 후속 조치도 문제였다. 지난 6월 6일 해킹 의혹이 불거졌지만, 한국연구재단은 “개인정보 유출이 없었다”고 밝혔다. 과기부 소관 사이버안전센터 정밀조사 결과 개인정보 유출이 있던 것이 확인돼, 사고 발생 5일 뒤에야 유출자에게 이메일을 통해 안내 사항을 공지했다. 이메일 발송에도 실패해 유출자 전체에게 해킹 사실을 알리는 데만 12일이 더 걸렸다. 해킹 사고로 인한 징계자도 없던 것으로 나타났다.

진선미 의원은 “사이버 보안에 대한 공공부문 전반의 문제 인식이 부족한 탓에 해킹사태가 발생했다”며 “한국연구재단이 유사한 사고가 반복되지 않도록 JAMS 시스템 재구축을 비롯한 정보보안을 강화해야 한다”고 말했다.