발표 15시간 전 합격자 명단 URL 유출
디시인사이드 행정갤러리에 처음 공개

[시큐리티월드 원병철 기자] 인사혁신처가 오늘 오전 9시 발표예정이던 ‘5급(행정) 2차시험 합격자’ 명단을 하루 먼저인 어제(4일) 오후 6시 44분에 발표했다. 명단이 온라인 커뮤니티에 먼저 공개된 탓이다. 인사혁신처는 유출원인을 찾고 있지만, 아직까지 원인을 분석하지 못한 것으로 알려졌다.

\n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n
이번 사건의 진행사항을 보면, 우선 인사혁신처 담당자가 4일 5시 30분 경에 합격자 명단을 사이버국가고시센터 게시판 예약기능을 통해 사전 업로드한 후 다음날 9시에 공개되도록 했다. 그런데 업로드 10분만인 5시 40분 경 합격자 명단이 첨부된 URL이 일부 인터넷 커뮤니티를 통해 유포됐고, 뒤늦게 이를 확인한 인사혁신처는 6시 44분에 합격자 명단을 발표했다.

이어 인사혁신처는 ‘설명자료’를 배포하면서 수험생 혼란을 최소화하기 위해 불가피하게 조기 발표했다고 밝히고, 이번 자료 유출과 관련하여 시스템에 문제가 있는지 왜 유출됐는지를 파악하여 대책을 수립하도록 하겠다고 설명했다.

보안전문가들, URL 공개로 봤을 때 관리소홀 유력
유포 글이 처음 올라온 곳은 바로 디시인사이드의 행정갤러리, 일명 행시갤러리다. 이곳은 이미 발표 하루 전부터 수많은 사용자들이 들락거리며 정보를 교환하고 있었다. 그러다 조짐이 보인 것은 오후 5시 무렵. 한 사용자가 미리 합격자 명단을 확인해주겠다며 글을 올렸고, 얼마 안 돼 URL이 유포됐다. 내일 합격자 발표만을 기다리던 사람들은 진위여부 확인을 위해 글을 확인하다 바로 인사혁신처로 연락했고, 이 때문에 인사혁신처는 유출사실을 확인하고 빠르게 대응할 수 있었던 것으로 보인다.

이번 사건은 ‘관리소홀’, ‘내부유출’, ‘해킹’ 등 3가지 중 하나가 의심된다. 그 어떤 것이라도 인사혁신처의 책임이 크다는 지적이다. 특히, 관리소홀은 사이버 국가고시센터 게시판의 접근제어 문제로, 홈페이지의 접근제어 설정이 제대로 되지 않았다면 누구나 쉽게 접근해 해당 자료를 확인할 수 있을 것으로 보인다.

보안전문가들은 유출자료가 ‘파일’이나 ‘텍스트’가 아닌 ‘URL’ 형태로 유출된 것으로 볼 때, 관리소홀 가능성이 높다고 말한다. 처음 유포된 디시인사이드 행정갤러리에서도 홈페이지 소스보기로 조회해 URL을 유포했을 것이라는 글이 올라와 있다. 내부유출이나 해킹 가능성도 있지만, 정확한 사실은 아직 확인되지 않고 있다. 현재 인사혁신처 담당자는 회의 등을 이유로 연락이 닿지 않고 있다.

한편, 인사혁신처는 지난 4월 공시생이 침입해 합격자 정보를 조작했던 곳으로, 당시 담당자가 PC보안지침을 제대로 지키지 않았던 것으로 알려졌다.
[글 시큐리티월드 원병철 기자(boanone@boannews.com)]

<저작권자 : 시큐리티월드(http://www.securityworldmag.co.kr) 무단전재-재배포금지>