이달 초 서강대에서 발생한 해킹으로 개인정보가 대거 유출된 가운데 최근 5년 간 국내 대학의 개인정보 유출에 따른 누적 피해자 수가 300만명에 육박하는 것으로 나타났다. 전문가들은 최근 대학을 타깃으로 한 해킹 공격이 인공지능(AI) 등을 활용해 갈수록 지능화되고 있는 만큼 관련 인력 증원 및 예산 확대가 필요하다고 주장한다.
19일 김민전 국민의힘 의원실이 교육부로부터 제출 받은 자료에 따르면 2022년부터 올 7월까지 대학의 개인정보 유출에 따른 피해자 수는 278만명인 것으로 나타났다. 여기에 이달 18만여명의 개인정보가 유출된 서강대 사례까지 더하면 관련 피해자 수만 최근 4년 8개월 사이에 296만명에 달한다.
특히 지난해 국내 교육기관 중 일선 교육청과 교육부에서는 해킹 피해 사례가 한건도 없었던 반면 대학에서만 9건이 발생했다는 점에서 각 대학의 주의가 요구된다. 실제 해커들은 대학이 보유한 재학생 정보 외에도 졸업생 관련 정보 및 연구 자료 등 방대한 데이터를 보유한 만큼 동문을 가장한 피싱(phishing·개인정보를 활용한 금융범죄)이나 연구 데이터 유출 등을 목적으로 해킹을 시도 중인 것으로 전해졌다.
반면 개별 대학들은 15년간 동결된 등록금에 따른 낮은 재정 여력을 이유로 개인정보 보호 관련 예산에 몇 억원 수준의 예산만 배정해 놓아 향후 해킹 피해가 늘어날 수 있다는 우려가 나온다. 김민전 의원은 “중앙정부나 기업과 달리 대학에 대한 개인정보 보호 지원이 부족한 실정”이라며 “정부는 대학의 보안 실태를 전면 점검하고 전문인력과 예산 지원을 포함한 종합적인 정보보호 대책을 조속히 마련해야 한다”고 밝혔다.
정부 또한 각 대학에 주의령을 내린 상태다. 올 6월 강원도 소재 한 국립 대학교는 대학원 홈페이지를 통해 “최근 미상의 해킹 조직이 인공지능(AI)을 활용한 공격 인프라를 통해 국내 대학 웹사이트를 대상으로 해킹 정찰을 시도하는 정황이 국가사이버안보센터를 통해 확인되었다”고 공지했다. 해당 대학은 이 같은 해킹 우려와 관련해 웹사이트와 주요 서버에 대한 보안 조치를 당부했다.
실제 국가정보원을 비롯한 정부 기관에서는 대학이 해커들의 주된 타깃이 될 수 있다며 보안 대응 강화를 주문 중이다. 반면 대학은 재정 악화를 호소하며 정보보호 예산 확대에 소극적이라 일선 대학이 ‘해커들의 놀이터’가 될 수 있다는 우려가 커지는 모습이다.
한국인터넷진흥원(KISA)에 따르면 정보보호 투자액을 공시한 국내 5개 대학의 관련 평균 투자액은 4억3000만원 수준에 불과한 것으로 나타났다. 숙명여대의 경우 지난해 정보보호 예산으로 6억955만원을 집행했으며 이어 단국대(4억3783만원), 숭실대(3억7655만원), 성균관대(3억2422만원), 동국대(2억3663만원) 순이었다. 이들 대학의 보안 담당 전담 인력은 2명 내외에 불과해 해킹 등의 공격이 발생할 경우 대응이 쉽지 않은 구조다.
중앙정부와 비교하면 일선 대학과의 정보보안 인력 및 예산 격차가 상당하다. 관련 자료에 따르면 교육부의 보안 담당 전담 인원은 6명이며 특별교부금 등 보안 담당 예산만 올해 기준 216억원에 달한다. 김승주 고려대 정보보호대학원 교수는 “일선 대학은 상당기간 지속 된 등록금 동결 등 재원이 부족한만큼 정보보호 예산을 늘리기 쉽지 않은데다 기부금 등의 여타 수입은 기부 목적에 따라 사용해야 해 예산 전용이 불가능한 구조”라며 “개별 연구실은 대학 본부 차원에서 일일이 정보보호 관련 규정 등을 강제하기 힘들다는 점에서 별도의 아카이브(데이터 보관소)를 반드는 등의 방안이 필요하다”고 밝혔다. 정보 보안 업계에서는 이 같은 대학내 별도 데이터 보관소 구축 예산만 최소 10억원이 필요할 것이라 보고 있으며 유지비는 1~2억원이 소요될 전망이다.
특히 정부에서는 반도체나 디스플레이 같은 첨단 분야의 연구용역 자료가 유출될 수 있다고 우려한다. 생성형 AI의 고도화로 해킹 기술이 갈수록 고도화 되는 반면 국내 대학의 정보보호 대응 수준은 사실상 제자리 걸음을 하고 있어 데이터 유출 위험은 증가할 수밖에 없기 때문이다.
실제 해커들의 공격 방식은 갈수록 진화하는 모습이다. 2024년의 경우 해커들의 주된 공격방식은 일선 대학 웹사이트나 애플리케이션의 보안 취약점을 타깃으로 하는 ‘웹해킹’ 방식이었다. 반면 지난해 일선 대학에서 발생한 해킹 9건 중 7건은 타깃 시스템에 잠입해 특정 명령을 지속 수행하도록 하는 악성코드 감염 방식으로 진화하는 등 핵심정보 유출 우려는 커지는 모습이다.
무엇보다 해커들은 인터넷주소(IP)를 위장하는 방식으로 신원을 감추는 등 해킹 시도가 갈수록 은밀해지고 있다. 김민전 국민의힘 의원실에 따르면 지난해 발생한 대학 해킹 피해 사례 9건 중 국적을 알 수 없는 이른바 ‘미상 국가’로부터 공격 받은 사례만 6건에 달하기도 했다.
해킹 뿐 아니라 대학 교직원의 단순 실수로 개인정보가 유출되는 사례가 많다는 점에서 개인정보 보호와 관련한 대학내 경각심을 높이는 한편 관련 처벌을 강화해야 한다는 지적도 나온다. 실제 P 대학에서는 2023년 장학생 지원자 300명의 개인정보가 대학원생 전체에게 이메일 형태로 발송된 바 있으며 H 대학교에서는 이듬해 1만2000여명의 이름·캠퍼스·학번 등의 개인정보가 담긴 문서가 단순 이메일 전송 실수로 노출되기도 했다. 올해에는 K 대학교 홈페이지 내 재시험 안내 공지에 수강생 학번·전화번호·이메일 주소 등의 개인정보가 첨부파일 형태로 업로드 돼 문제가 되기도 했다. 김승주 교수는 “정부가 중소기업의 정보보호 대책을 마련하듯이 대학에 대한 정보보호 지원책 수립에 나서야 한다”며 “특히 관련 예산이 부족한 사립대에 대한 지원이 필요해 보인다”고 밝혔다.