염태영 의원 “국립항공박물관 개인정보 유출, 추가 피해 확인과 구제 지원 강화해야”

염태영 국회의원 [사진=염태영 의원실]

【경기·남부 = 서울뉴스통신】 김인종 기자 = 국립항공박물관에서 회원 1만1,029명의 개인정보가 유출되고 박물관 교육 안내번호로 스미싱 문자까지 발송됐지만, 사고 이후 추가 피해를 확인하는 후속관리는 미흡한 것으로 나타났다. 박물관은 사고 초기 전화 안내 이후의 추가 피해 확인 실적을 묻는 의원실의 요구에 전용전화를 운영하고 있으며 피해 신고 접수 내역은 없다고 답했다.

국회 국토교통위원회 소속 더불어민주당 염태영 의원이 국립항공박물관으로부터 제출받은 자료와 개인정보보호위원회 심결서를 확인한 결과, 2024년 1월 20일 국립항공박물관 온라인 항공학습터에서 회원 1만1,029명의 개인정보가 유출됐다. 유출된 정보에는 성명과 아이디, 연락처, 성별, 생년월일, 가입일, 주소, SMS·이메일 수신 여부가 포함됐다.

해커는 사전에 취득한 관리자 계정의 아이디와 비밀번호로 관리자 페이지에 접속해 박물관 교육 안내번호를 발신번호로 스미싱 문자 1만970건의 발송을 시도했다. 이 중 1,980건이 실제 전송됐다. 같은 날 회원정보 1만1,029명분을 엑셀 파일로 내려받은 사실도 확인됐다. 박물관은 스미싱 문자를 받았다는 이용자의 민원 전화로 사고를 처음 알게 됐다.

사고 이전 개인정보 관리체계에서는 기본적인 안전조치가 지켜지지 않았다. 개인정보위 심결서에 따르면 박물관 소속 직원과 유지보수·교육운영 수탁업체 직원 20여 명이 관리자 계정 3개를 공유했다. 업무에 따라 접근 권한을 구분하지 않아 일부 교육 프로그램 운영을 맡은 업체 직원도 전체 회원정보에 접근할 수 있었다.

관리자 페이지에 접속할 수 있는 IP 주소도 제한하지 않았고, 외부에서도 아이디와 비밀번호만으로 접속할 수 있었다. 개인정보 접속기록을 점검한 사실도 없었다. 내부관리계획에는 1시간 내 20건 이상의 개인정보를 내려받으면 그 사유를 확인하도록 돼 있었지만, 사고 당시 1만1,029명의 회원정보가 내려받아졌는데도 사유를 확인하지 않았다.

개인정보위는 이러한 관리 부실에 대해 ‘업무상 중대한 과실’이 있다고 판단하고, 2025년 12월 10일 과징금 9,800만 원을 부과하기로 의결했다. 박물관은 2026년 2월 과징금을 납부했다.

박물관은 사고 이후 관리자 계정 공유 중단, 접속 IP 제한, 외부 접속 시 2단계 인증 도입 등의 보안조치를 실시했다. 그러나 시스템 개선과 별개로, 유출 대상자의 추가 피해 여부를 확인하는 조치가 충분했는지는 여전히 의문이다.

박물관은 기존 답변에서 고령 회원을 대상으로 유선 확인을 하고 사고 대응 전용전화를 개설·운영했으나, 스미싱 문자 발송으로 인한 추가 피해가 확인되지 않아 보상 내역이 없다고 설명했다.

이에 의원실은 2024년 1월 전화 안내 이후 추가 피해 여부를 확인한 시기와 대상, 방법, 결과를 요청했다. 박물관은 전용전화를 현재까지 유지·운영하고 있으며 별도의 피해 신고 접수 내역이 없다고 답했다. 유출 대상자에게 다시 연락하거나 별도로 피해 여부를 확인한 실적은 제시하지 않았다.

피해 신고가 접수되지 않았다는 사실만으로 유출 대상자의 추가 피해 여부를 충분히 확인했다고 보기는 어렵다. 전용전화 운영과 함께 이용자에게 피해 신고 방법을 다시 안내하고, 실제 피해 발생 여부를 확인하는 후속관리가 필요하다는 지적이다.

개인정보 유출 사실을 개별적으로 알리지 못한 사례도 남아 있다. 박물관은 유출 통지 문자 발송에 실패한 336건에 대해 문자 재발송과 전화 안내를 시도했지만, 사용하지 않는 번호나 잘못된 번호 등의 사유로 최종 336건을 개별 통지하지 못했다고 답했다. 개별 연락이 어려운 대상자도 유출 사실을 확인할 수 있도록 교육 페이지와 공식 홈페이지에 유출 사실과 사과문을 게시했다고 설명했다.

염태영 의원은 “직원과 수탁업체가 관리자 계정을 공유하고 접속기록조차 점검하지 않은 사이 1만1천 명이 넘는 국민의 개인정보가 유출되고 스미싱 문자까지 발송됐다”며 “국민의 개인정보를 맡아 관리하는 공공기관으로서 기본적인 보호조치가 부족했다”고 지적했다.

이어 염 의원은 “일부 이용자에 대한 전화 확인과 피해 신고가 없었다는 사실만으로 전체 이용자의 피해 여부를 확인했다고 볼 수 없다”며 “사고 이후 시스템을 고치는 데 그치지 않고, 추가 피해 여부를 확인하고 피해가 확인된 이용자가 구제받을 수 있도록 사후관리와 지원체계를 강화해야 한다”고 강조했다.