단독 한전, 개인정보 유출 한달 전 '심각' 보안취약점 218건 확인

직원 2만4000여명의 개인정보가 유출된 한국전력공사가 사고 발생 약 한 달 전 자체 보안진단에서 심각한 수준의 보안 취약점 218건을 확인했던 것으로 드러났다. 한전이 취약점을 파악하고 개선 계획까지 수립했던 만큼 실제 후속 조치가 제대로 이뤄졌는지 확인해야 한다는 지적이 나온다.

18일 머니투데이 더300(the300)이 국회 기후에너지환경노동위원회 소속 이용우 더불어민주당 의원실을 통해 확보한 자료에 따르면 한전은 지난 4월21일부터 7월19일까지 90일간 정보보안 자체 진단을 실시했다. 8월28일 발간한 결과보고서에는 자체 서버 관련 197건, 대외 서비스 관련 21건 등 총 218건의 보안 취약점이 확인됐다. 한전은 이들 취약점을 모두 '심각' 단계로 분류했다.

한전은 지난 1일 특정 웹페이지에서 직원 개인정보가 노출된 사실을 인지했다고 4일 밝혔다. 당시 직원 2만4000여명의 이름·소속·전화번호 등이 노출됐으며 주민등록번호 등 민감정보는 포함되지 않았다고 설명했다. 그러나 지난 8일 개인정보 노출이 아닌 유출임을 확인했다고 재공지했다. 자체 진단에서 심각한 취약점을 확인한 지 약 한 달 만에 대규모 개인정보 유출 사고가 드러난 셈이다.

보고서에 따르면 서버 보안점검에서는 윈도우 서버 118대와 유닉스·리눅스 서버 173대 등 총 291대에서 506건의 취약 항목이 발견됐다. 이 가운데 197건은 '심각', 114건은 '보통'으로 분류됐다. 나머지 195건은 기술지원이 종료된 운영체제 사용과 관련한 취약점이었다. 한전은 기존 시스템과의 호환성 문제로 즉각적인 개선이 어렵다고 보고서에 명시했다.

일반 국민이 이용하는 대외 서비스에서도 보안 문제가 확인됐다. 홈페이지 등 대표 서비스 10개를 대상으로 모의해킹을 실시한 결과 모든 서비스에서 한 건 이상의 심각 단계 취약점이 발견됐다. 취약점은 총 28건으로, 심각 21건·보통 6건·경미 1건이었다. 이용자 인증과 접근권한 검증 미흡, 중요정보 노출 등이 주요 취약점으로 꼽혔다.

한전은 서버의 심각 단계 취약점을 9월까지 우선 개선하고 나머지는 11월까지 조치한 뒤 12월 이행 여부를 점검할 계획이었다. 대국민 서비스의 심각 단계 취약점은 8월까지, 나머지는 9월까지 개선하고 10월 종합 점검을 실시하기로 했다. 다만 실제 취약점별 조치 완료 여부와 재점검 결과는 확인이 필요한 상황이다.

이번 개인정보 유출은 국가정보원이 발견해 한전에 통보한 것으로 전해졌다. 한전이 유출 사실을 인지하고 노출된 개인정보를 삭제하기까지는 약 32시간이 걸렸다.

이 의원은 "보안 취약점을 찾아냈던 한전이 실제 개선 조치를 완료했는지 확인하는 것이 무엇보다 중요하다"며 "취약점별 조치 완료 여부와 재점검 결과를 명확히 밝혀야 한다"고 촉구했다. 이어 "기후에너지환경부는 개인정보 유출 경위뿐 아니라 서버와 대국민 서비스, 계정 관리 등 정보보안 체계 전반의 개선 이행 실태를 철저히 점검해야 한다"고 강조했다.