홍익대, 안전교육 위탁사 내부자 실수로 재학생 1만 2,000명 개인정보 유출

안전교육센터, 공학계열 연구활동 종사자 안전교육 이수 요청 메일에 개인정보 발송돼
안전교육 위탁업체인 아이엠지테크 직원 실수...수신자에게 파일 삭제 요청 메일 발송도
5월 2일 9시~12시, ‘2024년1학기(학부 및 대학원생)’ 제목의 엑셀 파일 그대로 첨부

[보안뉴스 김영명 기자] 최근 홍익대학교에서 학사, 석사, 박사 등 1만 2,000여명 재학생 개인정보가 담긴 파일이 유출되는 사고가 발생했다. 이번 사고는 5월 2일, 홍익대의 위탁을 받아 연구실안전교육시스템을 운영하고 있는 아이엠지테크라는 회사에서 직원 실수로 일어났다.

▲홍익대에서 재학생 1만 2,000명의 개인정보가 담긴 파일이 통째로 유출되는 사고가 발생했다[자료=온라인 커뮤니티]

아이엠지테크 담당자가 밝힌 안내문에 따르면 법정의무교육으로 1년에 일정시간을 필수로 이수해야 하는 연구실 근무자, 연구활동종사자들에게 교육 이수를 독촉하는 안내 메일을 발송하는 과정에서 ‘2024년1학기(학부 및 대학원생)’ 파일이 첨부됐다고 밝혔다.

이어 아이엠지테크 측은 개인정보가 담긴 파일이 전체 1만 2,000여명의 교육 당사자에게 발송된 것을 뒤늦게 인지하고는 다시 당사자들에게 ‘해당 파일이 포함된 메일에 대해 삭제를 부탁드린다’고 메일을 발송하며 자발적인 삭제 협조를 요청했다.

해당 업체는 파기 방법을 △해당 메일이 받은 편지함에 있는 경우와 △메일이 삭제돼 휴지통에 있는 경우, △메일이 완전 삭제된 경우 등 3가지로 예를 들어 문제의 파일을 삭제 전과 후의 화면을 캡처해 업체 측에서 마련한 구글폼에 업로드하는 방법으로 송부해달라고 요청했다.

이 같은 요구는 실제로 해당 메일 수신자가 그 파일을 지웠는지 안 지웠는지 확인하기 위한 것으로 추측된다. 각각의 파일을 삭제했다는 화면을 캡처한 후 하나의 파일로 압축해 업로드해 달라고 구글폼의 온라인 주소도 함께 첨부했다.

▲커뮤니티에 올라온 개인정보가 담긴 엑셀 파일의 일부[자료=온라인 커뮤니티]

샘플로 올라온 유출된 파일 일부를 보면 학번, 캠퍼스 소재지, 이름, 단과대, 학과, 학부생·대학원생 여부, 학사·석사·박사 여부, 학년, 이메일 주소, 성별, 재학·휴학 여부 등 개인정보가 포함돼 있다.

하지만 아직 홍익대 홈페이지와 위탁업체인 아이엠지테크 회사 홈페이지에도 별다른 사과문이나 이번 개인정보 유출 사고에 대한 아무런 언급은 찾을 수가 없다.
[김영명 기자(boan@boannews.com)]

최근 발생한 크라우드 스트라이크의 보안 SW 업데이트 오류 사태처럼 SW 공급망에 보안이슈가 발생할 경우 관련된 각종 시스템 및 IT 인프라 마비가 일어날 수 있다는 게 드러났습니다. 이러한 공급망 보안을 위협하는 가장 큰 요인은 무엇이라고 생각하시나요?
	랜섬웨어, 피싱 등의 사이버 공격
	SW 업데이트 및 SW 교체 과정에서의 오류
	SW 자체에 존재하는 보안 취약점
	시스템 관리자의 운영상 실수 및 관리 미흡
	기타(댓글로)