연말정산 사이트, 타인명의 로그인 821건…보안 ‘구멍’

15일부터 나흘 동안 보안 구멍이 뚫려있던 국세청의 연말정산 간소화 홈페이지에 실제 타인 명의로 로그인한 사례가 800건 넘게 있었던 것으로 27일 나타났다. 가족이 조회한 경우도 있는 것으로 파악되지만, 민감한 각종 개인정보가 실제로 외부에 유출돼 악용됐을 가능성도 상당하다. 국세청은 조사 결과 예상보다 많은 조회 사례 건수에 내부적으로 당혹감이 역력한 분위기다.

27일 국세청에 따르면, 민간 간편인증 업체 7곳으로부터 받은 자료와 자체 서버 등을 분석한 결과 총 821건의 타인 명의 로그인 사례가 드러났다. 국세청 관계자는 “인증기관 연결용 프로그램에 결함이 있었다”며 “이용자 인적사항과 인증기관으로부터 받은 인적사항의 일치여부를 검증하지 못하는 사례가 발생했다”고 사고 원인을 설명했다.

국세청 연말정산 간소화 홈페이지의 설계 문제 탓에 15~18일 타인의 이름과 주민등록번호만 알면 연말 정산 자료를 통째로 들여다볼 수 있었던 사실은 본보 보도를 통해 알려졌다.

‘국세청 홈택스 연말정산 간소화’ 홈페이지는 15일 오전 6시 문을 열었을 때부터 보안에 허점이 있었다. 원칙대로라면 로그인하려는 본인의 인증서로만 본인 인증이 돼야 하는데, A 씨의 이름과 주민번호를 입력한 뒤 B 씨의 인증서를 사용해 인증해도 로그인이 됐던 것이다. 이 문제는 카카오톡과 통신사 등 7가지 민간 간편인증서를 사용할 때만 발생했으며, 공동·금융인증서로 로그인할 때는 문제가 생기지 않았다. 국세청은 18일 오후 8~11시에 이용자 접속을 전면 차단하고 홈페이지의 문제점을 고쳤다.

소득·세액공제 자료에는 민감한 개인정보가 다수 포함돼 있다. 수년 동안의 건강보험·국민연금 납부내역을 통해 소득 및 소득 추이를 추정할 수 있고, 신용카드와 현금영수증 사용액, 정당 후원금 및 종교단체 기부금 명세 등도 담겨 있다. 가족 중 누가 어느 병원에 갔는지도 알 수 있다.

이번 조사를 통해 밝혀진 821건 중 70~80%는 가족 관계 간 열람 사례인 것으로 추정되나 악용 사례가 있을 가능성도 배제할 순 없다. 국세청 관계자는 “가족관계인 경우가 70~80% 이상인 것으로 추정한다. 일일이 당사자에게 정보 열람기록 등을 5일 이내 통보해 정보 유출 여부를 확인할 것”이라고 설명했다.

국세청은 이번 사고로 개인정보보호검증 절차 강화 및 프로그램 개발 과정 개선 등 재발방지대책을 이날 발표했다. 국세청 관계자는 “외부전문가가 참여하는 ‘개인정보보호검증TF’를 구성하고 전산시스템 전반에 대한 개인정보 보호·관리 실태를 엄격히 점검하겠다”며 “프로그램 개발 및 테스트 과정에서 오류검증 절차도 강화해 즉시 시행할 것”이라고 밝혔다.