방화벽 오입력에 뚫린 포트로 침입…IITP, 연구자정보 대거 유출 작성일 08-07 36 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="1zUOLDwaSB"> <figure class="figure_frm origin_fig" contents-hash="6dd1e037ef6c5925a8530716f6908f7f9388988b96b85c6bf545c51ef19c0680" dmcf-pid="tquIowrNTq" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/07/552796-pzfp7fF/20260807165714782dzeo.jpg" data-org-width="600" dmcf-mid="5jgBHUu5vb" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/07/552796-pzfp7fF/20260807165714782dzeo.jpg" width="658"></p> </figure> <p contents-hash="2f117021770c0d6f096eeb3491d08516e2fe6b6806c3a32011280e98ca68c5a6" dmcf-pid="FB7CgrmjWz" dmcf-ptype="general">[디지털데일리 박재현기자] 과학기술정보통신부 산하 정보통신기획평가원(IITP)이 해킹당해 연구자 개인정보가 대거 유출됐다. 공격 주체는 아직 특정되지 않았다. 시스템 유지보수 중 방화벽 차단 설정을 '허용'으로 잘못 입력한 게 침입 경로가 된 것으로 파악됐다.</p> <p contents-hash="2b74f97eca11e62df31bdd95120c24d338ea0fa2bba51bcfa47cd556a4d51487" dmcf-pid="3JR3lZ5Ty7" dmcf-ptype="general">유출된 개인정보는 신원 특정이 가능한 수준이다. IITP가 지난 6일 피해자들에게 안내한 유출 항목은 이름, 휴대전화번호, 이메일, 소속기관, 부서명, 직위, 직장주소, 생년월일(주민등록번호 앞 6자리), 성별(주민등록번호 7번째 자리), 아이디, 비밀번호, 자택주소, 국가연구자번호, 경력·학력 정보 등 최대 십여개에 이른다.</p> <p contents-hash="bb66606887801c710103fd62d027466e2a711e673fc406d1488d4d32a5f0fbdb" dmcf-pid="0ie0S51yyu" dmcf-ptype="general">주민등록번호 앞 7자리와 집주소, 연락처, 경력사항까지 겹치면 사실상 개인 특정이 가능하다. IITP는 유출 규모를 파악 중이며, 피해자별로 유출 항목은 다르다고 안내했다.</p> <p contents-hash="f0c346b0cfaa2817c19f3e6ca382be723e0f48ce7c8e58e3b427995b12334c31" dmcf-pid="pndpv1tWCU" dmcf-ptype="general">설정 오류가 방치된 기간은 26일에 달했다. IITP가 개인정보 접속기록 관리 시스템 보안을 강화하던 중, 앞서 받은 과기정통부 보안 점검 결과를 반영하는 과정에서 방화벽 값을 '차단'이 아닌 '허용'으로 잘못 입력한 것으로 전해졌다.</p> <p contents-hash="bd616ae4f79777d2060d1424c406023715fd929b0d3b31409313e03bca4ec97e" dmcf-pid="ULJUTtFYvp" dmcf-ptype="general">이 오류는 6월10일 오후 3시57분부터 7월6일 오후 4시5분까지 이어졌고, 그 사이 외부의 비정상 접근으로 데이터 일부가 빠져나가거나 삭제됐다.</p> <p contents-hash="41cd953534fac9897fd247b3ab524fa144c1474fe7cd0cc892912a0d2c3d2346" dmcf-pid="uoiuyF3GS0" dmcf-ptype="general">뚫린 시스템은 국가 ICT R&D 행정의 핵심 단계를 모두 포괄한다. 이지원(사업관리), 이지매칭(기술매칭), 전자평가시스템(과제평가), 융자관리시스템(자금지원), ITFIND(정보포털) 등 5개 시스템 이용자가 유출 대상이다. 과제 신청부터 매칭, 평가, 자금 지원, 정보 검색까지 연구개발 행정 전 과정이 한꺼번에 외부에 노출된 셈이다.</p> <p contents-hash="d025dca9b60a2077b0bc60b60d34bafc6e333a60496610e9f220edab15e09d87" dmcf-pid="7gn7W30Hl3" dmcf-ptype="general">IITP의 개인정보 유출은 이번이 처음이 아니다. 지난해 12월에도 지능형지속위협(APT) 공격으로 직원 개인정보 일부가 유출된 사고를 겪었다. 반년 남짓 만에 유형이 다른 사고가 재발하면서, 보안 점검 이후 후속 조치 관리가 제대로 이뤄지지 않았다는 지적이 나온다.</p> <p contents-hash="7a14bc7e686194b49305f04f1ea69371014567e2e29460a26d86cfcbc3a8b4f7" dmcf-pid="zaLzY0pXSF" dmcf-ptype="general">사고 인지 시점과 피해자 통보 시점 사이 간격도 눈에 띈다. IITP는 방치 기간 마지막 날인 7월6일 해킹 사실을 확인하고 개인정보위에 신고했지만, 피해자 개별 통보는 한 달가량 지난 8월6일에야 이뤄졌다.</p> <p contents-hash="3e810cf8f2dfc2e803ba276b6fc519004db0ac2678748ecbf0d2c6ae49c3352b" dmcf-pid="qNoqGpUZSt" dmcf-ptype="general">개인정보위가 최근 통신사 해킹 사건에 자료 은폐 정황까지 겹쳐 과징금 540억원을 부과하는 등 제재 수위를 끌어올리는 상황과 맞물려, 공공기관의 유출 대응 속도와 재발 방지 대책도 조사 대상에 오를 것으로 예상된다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 선익시스템, 삼성D서 '양산용 RGB 올레도스 증착기' 수주할까 08-07 다음 클린스만 발언까지 재평가 받는 축구협회 '웃픈 현실' [자막뉴스] 08-07 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
