기아 노조원 5천명 개인정보 유출…'위탁업체 해킹 원인'

[이데일리 이윤화 기자] 기아 노동조합 소속 조합원 5000여명의 개인정보가 온라인 교육 위탁업체의 서버 해킹 과정에서 유출된 것으로 확인됐다. 최근 금융권과 공공기관 등을 대상으로 한 해킹 사고가 잇따르는 가운데 완성차업계에서도 외부 위탁업체를 통한 개인정보 유출 사례가 발생하면서 기업의 협력·수탁업체 보안 관리가 중요 과제로 떠오르고 있다.

경기 광명시 기아 오토랜드 광명에서 출고를 앞둔 레저용차량(RV). (사진=연합뉴스)

7일 기아 노동조합과 업계에 따르면 기아 광명공장 노조원 약 5000명의 이름과 사번, 전화번호 등의 개인정보가 외부로 유출됐다. 기아 노조가 온라인 교육 시스템 운영과 서버 관리를 맡긴 업체 ‘맑은소프트’가 외부 공격을 받은 것이 직접적인 원인이다.

맑은소프트는 지난달 19일 외부 공격자가 내부 서버에 비정상적으로 접근해 악성 프로그램을 설치한 사실을 확인했다. 공격자는 이후 회원정보가 저장된 데이터베이스(DB)에 접근했고, 이 과정에서 맑은소프트의 고객사 자료가 외부로 빠져나간 것으로 파악됐다.

기아 노조의 개인정보도 이 과정에서 함께 유출됐다. 맑은소프트는 전수조사를 진행한 뒤 지난달 25일 기아 노조 측에 개인정보 유출 사실을 전달했다. 노조는 다음 날 조합원들에게 피해 사실을 알리고 출처가 불분명한 문자나 메시지에 포함된 인터넷주소(URL)를 클릭하지 말 것을 안내했다.

유출된 정보는 광명공장 노조원들의 이름과 사번, 전화번호 등이다. 현재까지 이번 사고로 인한 2차 피해는 확인되지 않은 것으로 파악됐다. 기아 노조는 휴대전화 번호와 비밀번호가 암호화된 상태로 저장돼 있어 실제 번호나 비밀번호가 그대로 노출된 것은 아니라고 설명했다. 유출된 전화번호 등이 암호화돼 있어 실제 피해로 이어질 가능성이 낮은 것으로 보고 있다.

다만 혹시 모를 피해를 예방하기 위해 조합원들에게 다른 사이트에서도 같은 전화번호나 비밀번호를 사용하고 있다면 변경할 것을 안내했다. 노조와 위탁업체는 사고 원인과 유출 범위를 확인하는 한편 재발 방지를 위한 보안 대책 마련에 나설 예정이다.

맑은소프트 측은 이번 침해 사고와 관련해 외부 공격을 차단하고 서버 보안 조치를 완료했다고 밝혔다. 또한 관계 기관에 사고 사실을 신고하고 추가 점검을 진행하고 있는 것으로 전해졌다.

이번 해킹으로 개인정보가 유출된 곳은 기아 노조뿐만이 아니다. 맑은소프트 서버에 저장돼 있던 자료를 이용하는 국민권익위원회와 국방부 등 20여개 기관 및 단체의 이용자 정보도 함께 유출된 것으로 파악됐다. 하나의 위탁업체가 여러 기관의 개인정보를 관리하는 구조에서 보안 사고가 발생하면서 피해 범위가 확대된 셈이다.

이번 사고는 기업이 개인정보 관리 업무를 외부 업체에 맡기는 과정에서 발생할 수 있는 보안 취약점을 보여주는 사례라는 점에서도 주목된다. 개인정보를 직접 보유·관리하는 기업이 자체 보안 체계를 강화하더라도 실제 데이터가 저장된 수탁업체의 서버가 공격받으면 개인정보 유출로 이어질 수 있기 때문이다.