- 구축 때 남은 접근 통로, 8년 만에 침입 경로로 악용
- 법정 감리 대상 아니라며 방치… 4단계 모두 걸러내지 못해
- ‘우수’ 평가 이면에 드러난 부실… 유출 규모도 계속 확대

더불어민주당 이광희 의원(청주 서원)은 6일 열린 행정안전부 국정감사에서 한국지역정보개발원(KLID)의 웹메일 해킹 사태와 관련해, 8년 전 도입 당시 제거되었어야 할 취약 프로그램이 방치되면서 대규모 정보 유출로 이어진 뼈아픈 보안 부실을 집중 추궁했다.

개발원장은 이날 “최초 구축 시 제거되어야 할 취약 프로그램이 존재했고 이번 사고의 경로로 악용됐다”고 인정했다. 해당 프로그램은 OTP 없이 아이디와 비밀번호만으로 접근할 수 있었고, 개발원은 자체 점검이 아닌 보안당국의 통보를 받고서야 조사에 나선 것으로 확인됐다. 웹메일이 상용 패키지 소프트웨어인 만큼 같은 제품을 쓰는 다른 기관도 위험에 노출됐을 가능성이 있으며, 원장도 이를 “그렇게 추측한다”고 답했다.

웹메일 시스템은 사업비 1억 원 미만의 소규모 사업이라 감리 대상이 아니었지만, 「소프트웨어사업 계약 및 관리감독에 관한 지침」은 안전성 확보를 위해 법정 대상이 아니어도 감리를 할 수 있도록 하고 있다. 이 의원은 “감리 비용 대비 효과가 낮다는 것이 면책 사유가 될 수 없다”며 “구축 때 놓치고 준공 때 놓치고 유지보수와 정기 보안점검에서도 놓친 것 아니냐. 8년이면 한 번쯤은 발견됐어야 한다”고 지적했다.

개발원은 2025년 개인정보보호 실태점검에서 100점을 받았고 정보보안 관리 실태점검에서도 2022년부터 2026년까지 매년 90점대를 기록했다. 지난해 공개된 프랙(Phrack) 보고서에서 개발원 도메인 이메일이 피싱 표적으로 쓰인 흔적이 드러나는 등 사전 경고도 있었다. 유출 규모는 현재까지 6,020명의 이메일 주소 또는 성명과 653개 파일(약 7GB)로 추정되며 최종 규모는 확정되지 않았다.

이 의원은 “유출된 자료가 다른 기관을 공격하는 수단으로 쓰일 수 있다는 점이 가장 우려스럽다”며 시스템 관련 자료를 주고받은 기관에 대한 통보와 조치 여부를 따져 물었다. 개발원장은 원장 직속 정보기획단을 신설해 운영부서를 견제하는 취약점 점검을 상시 실시하겠다고 답했다.

이 의원은 구축부터 사고까지 전 과정의 사후검증과 별도 감리·전문 보안진단을 받지 않은 시스템의 전수점검, 관계 기관과 함께하는 재발방지 대책 보고를 요구하며, ”행정안전부 차원에서도 실태점검이 실제 취약점을 찾아내는지 점검체계를 개선해야 한다“고 밝혔다.

<끝>