[단독] 미래부 산하기관 사이트도 개인정보 줄줄 샌다

2014-12-15 14:34

인증서 재발급을 위해 로그인시 “주민등록번호” 노출 화면[사진 = 정보화사회실천연합 제공 ]

아주경제 장윤정 기자 = 미래창조과학부가 산하 기관 사이트에서도 암호화 미준수로 개인정보가 줄줄 샐 우려가 있는 것으로 나타나 체면을 구기고 있다.

앞서 지난 11월 본지는 '2014 전권회의 특별행사 월드 IT쇼 사전참가자 모집사이트'의 개인정보 암호화 미적용과 '창조경제타운', '규제개혁 GO사이트' 등 미래부의 잇단 개인정보 위반 사례를 보도하고 개인정보보호 주무부처로서 관리 감독에 소홀한 것 아니냐는 비판을 제기했다.

이에 미래부 측은 재발 방지를 약속하고 관련 사이트의 개인정보 보호를 위한 총체적인 점검에 나서겠다고 공언했다. 하지만 여전히 시정되지 않아 정보보호 불감증이 여전한 것으로 보인다.

15일 본지가 조사한 바에 따르면 미래부가 민간단체에 위탁, 관리하고 있는 한국산업기술진흥협회 연구소, 전담부서 사이트 공인인증센터(http://www.tradesign.net/koita/)가 주민등록번호 처리 시 전송구간 암호화가 취약해 개인정보가 노출될 우려가 있는 것으로 나타났다.

관련기사

해당 사이트는 미래부가 '기초연구진흥 및 기술개발지원에 관한 법률'에 의해 기업 부설연구소 및 연구개발전담부서 신고의 수리 및 인정 업무를 처리를 민간단체(한국산업기술진흥협회 : KOITA)에 행정행위를 위탁, 관리하고 있다.

한국산업기술진흥협회 사이트는 일반적인 아이디, 패스워드보다 해커에 노출되면 위험이 높은 공인인증서가 보안취약성에 노출됐기 때문에 심각성이 더한 상황이다. 공인인증서의 경우 금융정보와 직결돼 금융자산의 피해로 연결될 수 있다.

한국산업기술진흥협회사이트는 '개인정보보호협회'로부터 개인정보우수사이트에 발행하는 '개인정보보호 인증마크제(ePRIVACY)' 인증을 받은 사이트다. 개인정보보호인증마크를 받은 사이트임에도 불구하고 개인정보보호의 가장 기초적인 보안조치를 준수하고 있지 않아 인증서 발급기관의 인증심사 절차에 대한 문제점도 대두되고 있다.

SnT GPS 글로벌과학기술정책정보서비스 로그인시 보안서버 미 적용으로 인하여 “비밀번호” 노출 화면 [사진 = 정보화사회실천연합 제공 ]

이외에도 국내외 과학기술 정책을 수집, 분석 서비스하는 SnT GPS 글로벌과학기술정책정보서비스(http://www.now.go.kr/) 사이트도 로그인 시 아이디, 패스워드에 암호화를 미적용했다. 이사이트 역시 미래부와 한국과학기술기획평가원(KISTEP)이 운영하고 있다.

아울러 미래기술마당(http://rnd.compa.re.kr/), 연구실안전정보망(http://labs.or.kr/), 한국정보통신진흥협회의 ICTi통계포털(http://www.icti.or.kr), 한국산업기술진흥협회의 이공계인력중개센터(http://www.rndjob.or.kr/), 고경력과학기술인지원센터(http://www.rsec.or.kr/) 등도 아이디, 패스워드 암호화를 적용하지 않은 것으로 드러나 미래부가 총체적으로 정보 보안 불감증에 빠져있다는 판단이다.

미래기술마당 접속시 암호화 미적용으로 아이디, 패스워드가 노출되는 화면 [사진 = 정보화사회실천연합 제공 ]

이번 조사는 외부에서 개인정보보호의 척도를 확인할 수 있는 유일한 방법인 '개인정보의 보호조치' 사항 중 기술적 조치에 속하는 전송구간 암호화(보안서버구축, SSL)에 대해 ‘비밀번호‘의 암호화 준수 여부를 패킷 분석 도구인 와이어샤크를 사용해 진행했다. 와이어샤크는 초보자도 인터넷에서 쉽게 구할 수 있는 도구다.

전송구간 암호화를 하지 않으면 데이터를 서버로 전송하는 과정에서 패킷이 공격자에 노출돼 유출될 위험이 있다. 전송구간 암호화는 보안서버 설치로 간단히 구현할 수 있다.

일반적으로 보안 서버는 인터넷상에서 개인정보를 암호화해 전송하는 기능을 제공하는 서버로 개인정보에 도움이 되는 장치로 알려져있다. 웹 사이트 보안시 가장 기본적인 보안장치다. 보안서버가 구축된 사이트를 대상으로는 해커들이 공격을 시도하기 어렵다.