서강대 개인정보 18만건 유출... 박근혜 전 대통령 등 재학생·졸업생 정보 포함

핵심 요약

서강대학교에서 재학생, 졸업생, 교직원 등 약 18만 건의 개인정보(학번/사번, 성명, 아이디, 소속, 이메일 주소, 휴대전화 번호, 비밀번호 등)가 신원 미상의 외부 공격으로 유출되는 사고가 발생했습니다. 이번 사고는 통합 로그인 계정 정보에 대한 외부 공격으로 인해 발생했으며, 이는 초기 침투(Initial Access) 이후 민감 정보에 대한 접근(Credential Access) 및 데이터 유출(Exfiltration) 전술이 사용되었을 가능성을 시사합니다. 특히 비밀번호까지 유출된 점은 사용자 인증 시스템의 보안 취약성 또는 부적절한 비밀번호 관리 정책이 원인일 수 있습니다. IT 감사인은 조직의 개인정보 처리 시스템에 대한 접근 통제, 암호화, 안전한 비밀번호 저장 및 관리 정책의 적정성을 면밀히 점검하고, 침해 사고 발생 시 정보주체 통지 및 관계 기관 신고 절차가 법규에 따라 적절히 수립되어 있는지 확인해야 합니다.

💡 개선 권고안

• ✔기술적 조치통합 로그인 시스템 및 개인정보처리 시스템에 대한 정밀 보안 취약점 점검을 수행하고, 발견된 취약점에 대해서는 즉시 보안 패치를 적용하며, 안전한 비밀번호 저장 및 관리(단방향 암호화, 솔트 적용 등) 방식을 강화할 것을 권고함.
• ✔기술적 조치개인정보처리 시스템에 대한 접근 통제 정책을 강화하고, 비인가 접근 시도를 탐지하기 위한 이상 행위 탐지 시스템(SIEM, EDR 등)의 모니터링 및 대응 체계를 고도화할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 통지 및 관계 기관 신고 절차를 포함한 침해 사고 대응 계획(IRP)을 재검토하고, 모의 훈련을 통해 실효성을 확보하며, 관련 법규 준수 여부를 정기적으로 점검할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 개인정보 보호 및 보안 의식 강화를 위한 정기적인 교육을 시행하고, 특히 통합 로그인 계정 정보 관리의 중요성에 대한 인식을 제고할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문