[서울=뉴시스]정예빈 기자 = 서울시교육청의 구글 온라인 학습용 계정 약 3만5500개의 비밀번호가 무단 변경된 가운데, 사안을 인지한 지 닷새가 지나도록 탈취 경로는 명확히 규명되지 않은 것으로 나타났다. 다만 다크웹 등에 불법 유통된 계정 정보가 악용됐을 가능성이 거론된다.

계정 탈취 사고 이후 시교육청은 구글과 해외 IP 차단 등 추가 기술 대책을 논의하고 미사용 계정을 정리하는 등 조치했지만, 사전 보안 관리가 허술했다는 지적이 나온다.

16일 국회 교육위원회 소속 조국혁신당 강경숙 의원실이 시교육청교육연구정보원으로부터 입수한 자료에 따르면 구글 S-온라인 로그 기록을 모니터링한 결과, 무작위 대입 방식의 로그인 시도 여부를 가려내기 어려운 것으로 파악됐다.

구글 측은 "계정 소유자가 아닌 제3자가 해당 계정의 정확한 아이디와 비밀번호를 입력해 로그인한 경우"라며 "현재까지 구글 시스템이 침해된 정황은 확인되지 않았다"고 설명했다.

한 시교육청 관계자는 "다크웹에 돌아다니는 아이디와 비밀번호로 로그인해 비밀번호를 무단변경한 것으로 추정된다"고 말했다.

이번 사안은 시교육청이 운영하는 구글 도메인 ‘S-온라인20’의 학습용 계정이 뚫려 정보가 탈취된 사고다. 해외에서 사용자의 ID와 비밀번호를 입력해 로그인에 성공한 뒤, 기존 비밀번호를 강제로 바꿨다. 유출된 계정정보를 활용해 로그인 창에 자동화 도구인 매크로를 적용하고, 인공지능(AI) 기반 패턴 분석 등을 거쳐 로그인에 성공한 것으로 보인다.

S-온라인20은 2020년 코로나19 원격수업을 지원하고자 서울교육연구정보원이 만든 구글 워크스페이스로, 오는 12월 31일 종료될 예정이다.

이번 탈취 사고 피해 규모는 73개 학교, 약 3만5500개 계정이다. 시교육청은 지난 11일 오후 7시30분 사안을 처음 인지하고 구글과의 긴급 회의를 열었다.

회의에서 피해 확산을 막으려면 '일시 중지'가 필요하다는 의견을 전달받았고 이후 긴급 공동대응팀을 꾸려 전수조사한 끝에 9월 29일부터 해외 IP를 통해 3만5500건의 비밀번호가 강제 변경된 것을 확인했다. 시교육청은 피해를 최소화하고자 일시 중지를 결정했고, 이튿날 오전 5시30분까지 전체 63만8000개 계정에 대한 일시 중지 작업을 마쳤다.

같은 날 오후 12시20분 정근식 서울시교육감에게 경과와 대응 방안이 긴급 보고됐고, 오후 2시42분 교육부 사이버안전센터에 신고됐다. 교육부는 당일 오후 3시44분 교육청과 학교 등 소속기관에 비밀번호 전면 변경, 관리자 계정 2단계 인증 필수 적용 등 계정 보호 방안을 담은 공문을 시행했다.

이달 15일 기준 전체 1334개 기관, 63만8000개 계정 중 322개 기관, 11만8866개 계정의 비밀번호가 재설정됐다. 전체 사용자에게는 로그인 시 비밀번호를 강제로 재설정하는 조치도 적용됐다.

교육연구정보원은 13일부터 교수학습정보부 12명 등으로 구성된 공동대응팀을 운영하며 구글과 함께 피해 현황을 파악하고 지원 중이다. 해외 IP 접속 차단 등 추가 기술적 방안을 협의하고, 비정상적인 로그인 시도에 대한 보안도 강화하기로 했다. 미사용 계정은 15일 기준 3만1000건을 삭제했다.

그러나 계정이 이미 탈취된 뒤에야 나온 사후 처방에 그쳐, 그간 허술했던 사전 관리 체계가 개인정보 유출로 이어졌다는 비판이 제기된다. 강경숙 의원은 "사전에 보안 조치가 충분하지 않았던 점도 문제지만, 계정 관리 책임을 주로 학교에 맡겼던 것이 더 큰 문제"라며 "일선 학교에 부담이 전가될 뿐 아니라 전문 인력이 충분치 못한 상황에서 보안에도 한계가 있었을 것"이라고 지적했다.

한편 대전시교육청에서도 일선 학교의 원격 수업을 지원하는 '구글 워크스페이스 포 에듀케이션' 계정 7만4246개의 비밀번호가 무단 변경됐다. 유출이 확인된 정보는 아이디와 비밀번호지만, 성명·학교·연락처 등 개인정보가 새어 나갔을 가능성과 졸업생·퇴직 교원의 개인정보까지 함께 유출됐을 가능성이 제기된 상황이다.


◎공감언론 뉴시스 5757@newsis.com