정보통신기획평가원(IITP) 개인정보접속기록관리 시스템 해킹 사건

2024년 12월 IITP는 지능형 지속 공격(APT)으로 추정되는 사이버 공격을 받아 직원 개인정보 일부가 유출되는 사고를 겪었다. 당시 과학기술정보통신부 산하 기관이 해킹 피해를 입었다는 사실이 알려지면서 공공기관 보안 관리에 대한 우려가 제기됐다. IITP는 사고 이후 보안 점검과 시스템 점검을 실시했다고 밝혔다. 그러나 근본적인 보안 체계 개선이 이뤄지지 않았다는 지적이 이후 재발 사고로 확인됐다. 이 사고는 이후 발생한 2차 해킹 사고의 전조로 재조명됐다.

IITP는 2026년 7월 6일 개인정보접속기록관리 시스템이 외부 공격을 받은 사실을 확인했다. 해당 시스템은 IITP가 관리하는 개인정보 처리 현황과 접속 기록을 관리하는 핵심 보안 인프라였다. IITP는 사고 확인 직후 관련 시스템을 격리하고 침해 경로와 유출 규모를 조사하기 시작했다. IITP는 대학·기업·연구기관 연구자들의 개인정보와 연구과제 정보를 대량으로 보유한 기관이어서 유출 시 피해 범위가 클 것으로 우려됐다. 2024년 12월 사고 이후 불과 7개월 만에 재발한 보안 사고로 파장이 커졌다.

조사 결과 이번 사고의 원인은 최근 과기정통부 보안 점검 이후 시스템 유지·보수 과정에서 방화벽 설정을 '차단'이 아닌 '허용'으로 잘못 입력한 인적 실수로 확인됐다. 보안 점검을 계기로 오히려 방화벽 접근 제어가 풀리면서 외부 공격자의 침입을 허용한 셈이 됐다. 전문가들은 보안 점검·유지보수 과정에서의 설정 검증 절차 부재가 근본 원인이라고 지적했다. IITP는 올해 총 1조8996억 원 규모의 국가 ICT R&D 예산을 관리하는 기관으로, 방대한 연구자 개인정보와 연구과제 정보를 보유하고 있어 파장이 컸다. 과기정통부는 산하기관 전반에 대한 보안 실태 점검을 지시했다.

보도에 따르면 IITP가 수년간 축적해온 연구자 정보가 이번 해킹으로 유출됐을 가능성이 제기됐다. IITP 사업관리시스템에는 대학·기업·연구기관 소속 연구자들의 인적 정보와 과제 수행 내역이 장기간 누적돼 있어, 유출이 확인될 경우 피해 규모가 상당할 것으로 우려됐다. IITP는 개인정보 유출 여부와 범위를 조사 중이라고 밝혔으나 구체적인 유출 인원과 항목은 즉시 공개하지 않았다. 연구계에서는 과제 심사·평가 관련 민감정보까지 포함됐을 가능성에 대한 우려가 제기됐다. 이번 사건은 공공 R&D 관리기관의 보안 취약성을 다시 드러낸 사례로 평가됐다.

개인정보보호위원회는 IITP의 해킹 사고 신고를 접수하고 유출 경위와 범위에 대한 조사에 착수했다. 개인정보위는 IITP에 사고 원인 규명과 재발 방지 대책 마련을 요구했으며, 조사 결과에 따라 과징금·과태료 등 행정 제재 여부를 검토할 방침이라고 밝혔다. IITP는 국가 R&D 예산을 관리하는 핵심 기관인 만큼 이번 조사 결과가 공공기관 보안 정책 전반에 영향을 미칠 것으로 전망됐다. 과기정통부도 산하기관 보안관리 실태에 대한 전면 점검을 예고했다. 사건은 계속 조사 중이며 최종 유출 규모는 확정되지 않았다.