연말정산 사이트 사흘간 뚫렸다… 821명 개인정보 유출

연말정산 사이트 보안 허점… 국세청 사흘 만에 인지
이름·주민번호만 알면 타인 인증서로도 로그인 가능
국세청, 상당수 가족·지인 자료 조회로 추정

사진=연합뉴스

국세청 홈택스 연말정산 간소화서비스 사이트에서 821명의 개인정보가 유출된 것으로 나타났다. 로그인 과정에서 나타난 보안 허점으로 인해 가족관계는 물론 의료비, 카드사용액 등이 민감한 개인정보가 타인에게 노출됐다. 

국세청은 27일 홈택스 연말정산 간소화 서비스 보안 허점 노출 사고 조사 결과를 이같이 발표했다.

지난 15일 오전 6시 개통된 연말정산 간소화 서비스는 공동인증서나 민간인증서로 로그인해 이용할 수 있다. 국세청은 올해 이용 가능한 민간인증서를 기존 5종(카카오톡·통신3사 PASS·페이코·삼성패스·KB국민은행)에 새로 네이버와 신한은행을 추가했다. 이 과정에서 인증기관 연결용 프로그램에 결함이 발생했다.

로그인 절차는 ‘이용자 성명과 주민등록번호 입력’, ‘인증 요청 및 회신 등 간편인증’, ‘이용자 인적 사항과 인증 시 인적 사항 일치 여부 검증’의 단계로 진행되는데, 이 일치 여부를 검증하는 단계가 누락된 것이다. 이 때문에 A의 이름과 주민등록번호를 입력한 뒤 B의 인증서로 인증을 해도 로그인이 완료되는 오류가 나타났다.

다른 사람의 이름과 주민등록번호만 알면 로그인해 가족관계, 의료비 지출, 카드 사용 금액 등 연말정산 자료를 모두 조회할 수 있게 된 것이다.

이같은 오류는 15일 오전 6시 간소화 서비스 개통 시점부터 18일 오후 8시까지 계속됐다. 국세청은 문제를 인지한 뒤 3시간가량 민간인증서 로그인을 차단한 뒤 수정했지만, 사흘간 개인정보 유출은 막을 수 없었다.

국세청. 연합뉴스

국세청은 사흘간 로그인 기록을 분석한 결과, 이용자 인적 사항과 인증 시 인적 사항이 다른 사례가 821건이라고 밝혔다. 결국 821명이 개인정보 유출 피해를 겪은 것이다.

간소화 시스템 개통 이전에 유사한 사례가 있는지도 추가 분석 중이다. 다만 이번 유출 사례 중 상당수는 가족, 지인에 의한 자료 조회일 것이라고 추정했다.

국세청은 개인정보보호법과 표준개인정보보호지침에 따라 5일 이내에 타인에 의해 자료가 조회된 821명에게 서면이나 이메일, 전화 등을 통해 개인정보 유출 사실을 개별 통지하기로 했다.

국세청은 유사 사례 재발 방지 대책도 마련하겠다고 밝혔다. 우선 외부전문가가 참여하는 개인정보보호검증 태스크포스(TF)를 구성해 이번 사건을 포함한 전산시스템 전반에 대한 개인정보 보호·관리 실태를 점검하고 재발 방지책을 준비할 방침이다.

국세청은 “이번 사건이 발생한 데 대해 납세자 여러분께 진심으로 사과드린다”며 “사안의 심각성을 깊이 인식하고 앞으로 이런 일이 재발하지 않도록 각고의 노력을 기울이겠다”고 밝혔다.

세종=안용성 기자 [e-mail]