[단독] 국립 부경대 학생·직원 5,108명 개인정보 유출…공격자 금전 요구로 사고 인지

핵심 요약

국립 부경대학교의 등록금 수납 시스템인 수협은행 캠퍼스e모아에서 외부 공격자의 비인가 접근으로 학생 5,106명과 직원 2명 등 총 5,108명의 개인정보가 유출되는 사고가 발생했습니다. 공격자는 유출된 정보를 이용해 금전을 요구했으며, 이는 초기 침투 후 데이터 유출(Data Exfiltration, TA0010) 및 협박 전술을 사용한 것으로 추정됩니다. 유출된 정보에는 성명, 학번/수험번호, 학과/전공명, 등록금 수납액, 가상계좌 정보, 내선전화번호, 휴대전화번호 등이 포함되어 있었습니다. IT 감사인은 이러한 사고가 발생했을 때 개인정보처리 시스템에 대한 접근 통제 및 데이터 보호 조치의 적정성을 점검하고, 사고 인지 및 대응 절차가 관련 법규를 준수했는지 확인해야 하는 핵심 시사점을 제공합니다.

개선 권고안

• ✔기술적 조치등록금 수납 시스템과 같이 민감한 개인정보를 처리하는 시스템에 대해 주기적인 취약점 점검 및 모의 해킹을 수행하고, 발견된 취약점에 대한 즉각적인 패치 및 보안 설정을 강화할 것을 권고함.
• ✔기술적 조치유출된 가상계좌 정보 등 민감 개인정보에 대한 암호화 적용 여부를 점검하고, 저장 및 전송 시 안전한 암호화 기술을 적용하여 데이터 유출 시 피해를 최소화할 수 있도록 강화할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 인지 및 대응 절차를 재점검하고, 사고 발생 시 정보주체 및 관계 기관에 대한 통지 의무(개인정보 보호법 제34조, ISMS-P 3.5.4)를 준수하기 위한 비상 계획을 수립 및 시행할 것을 권고함.
• ✔관리적 조치개인정보처리 시스템에 대한 접근 통제 정책을 강화하고, 비인가 접근 시도를 즉시 탐지하고 차단할 수 있는 보안관제 시스템 및 프로세스를 고도화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기