인천교육청, 해킹 사실 인지하고도 한 달 넘게 신고 안 해... 11만명 개인정보 유출 우려

인천시교육청 교직원과 학생들이 사용하는 오피스365 계정이 해킹을 당한 것으로 알려진 가운데, 이에 대한 신고의무를 다하지 않은 정황이 드러났다. 해킹 피해 사실을 인지하고도 한 달여 동안 이를 경찰과 소관 부처에 신고하지 않은 것이다.

인천광역시교육청은 교직원과 학생들이 사용하는 오피스365 관리자 계정이 신원 불상의 자(해외IP)로부터 해킹 공격을 당한 사실을 확인했다고 밝혔다. 해당 계정은 약 11만 명의 교직원과 학생들의 계정정보를 관리하는 관리자 계정으로, 인천교육청은 이를 개인정보보호위원회에 신고한 상황이다.

유출 가능성이 있는 개인정보 항목은 ▲계정이름 ▲아이디 ▲구분(교직원·학생) ▲휴대전화 번호 ▲소속 ▲주소 ▲보조 이메일 등 7개 항목이다. 단, 휴대전화 번호와 주소 등은 선택 입력 항목이기에 유출 가능성이 있는 범위는 개인마다 상이한 것으로 나타났다.

인천교육청에 따르면 개인정보의 실제 유출 여부는 명확하게 확인되지 않았으며, 정확한 사고의 경위와 피해 규모는 현재 조사를 진행하고 있다. 아울러 인천교육청은 관리자 계정이 해외에서 접속된 사실을 인지한 후, 해당 계정을 즉시 사용 중지하고 관리자의 로그인 인증단계를 강화했다고 밝혔다.

아울러 인천교육청은 이번 해킹 사고에 대해 신고 의무를 다하지 않은 정황도 드러났다. 인천교육청이 오피스365 관리자 계정 해킹 사실을 인지한 시점은 지난해 12월21일 이지만, 이를 개인정보보호위원회에 신고한 시점은 지난달 29일로 확인됐다. 개인정보보호법에 따르면 개인정보처리자는 개인정보 유출 사고가 발생할 시, 이를 인지한 시점부터 72시간 이내 유출 사실을 소관 부처에 통지하도록 규정하고 있다. 이와 더불어 시교육청 등 공공기관의 경우 침해사고가 발생할 시 해당 사실을 소관 부처인 국가정보원에 알려야 한다.

이에 인천교육청 관계자는 <뉴스워커>와의 통화를 통해 “해킹 사실을 확인한 이후 오피스365의 사업자인 MS사에 신고하여 개인정보 유출 여부를 확인해달라고 요청했다”라며 “1월26일 경찰에 수사를 의뢰했으며, 같은 해 29일 개인정보위에 피해 사실을 통지했다”라고 전했다.