▲ 사진=대전 동구 '글로벌 드림캠퍼스' © 금기양 기자

[대전=뉴스파고 금기양 기자] 대전 동구가 민선 8기 핵심 교육사업으로 추진한 ‘글로벌 드림캠퍼스’에서 학생과 학부모 637명의 개인정보가 무더기로 유출된 사실이 확인됐다.

전체 학생 503명 가운데 420명의 정보가 빠져나가 피해율이 83%를 넘었다.

막대한 예산을 들여 공공형 교육시설을 조성한 뒤 민간 교육기업에 운영을 맡겼지만, 개관 후 불과 수개월 만에 학생들의 이름과 생년월일, 전화번호, 주소, 학교와 학년, 아이디 등이 외부에 노출된 것이다.

민선 8기 역점사업으로 추진한 공공 교육시설이 ‘재정 부담’에 이어 ‘개인정보 관리 부실’ 논란까지 떠안게 됐다.

25일 동구가 작성한 ‘동구 글로벌 드림캠퍼스 개인정보 유출 사고 보고’ 등에 따르면 개인정보 유출 사고는 지난 17일 오후 9시 38분부터 18일 오전 6시 33분 사이 발생했다.

글로벌 드림캠퍼스 수탁운영기관인 ㈜정상제이엘에스(정상JLS)의 온라인 교육·서비스 시스템에서 회원정보에 대한 무단 조회와 비정상적인 접근이 이뤄졌고, 동구는 다음 날인 18일 오전 10시경 사고를 인지했다.

피해 규모는 심각하다. 내부 사고보고서에는 학생 420명과 학부모 217명 등 모두 637명의 개인정보가 유출된 것으로 나타났다. 학생은 재원생 273명, 비재원생 147명이다.

유출된 정보에는 이름, 생년월일, 성별, 전화번호, 이메일, 주소, 학교, 학년, 회원번호, 아이디, 암호화된 비밀번호 등이 포함됐다. 주민등록번호는 유출 대상에 포함되지 않은 것으로 파악됐다.

특히 문제가 되는 것은 미성년 학생들의 개인정보가 대규모로 노출됐다는 점이다. 이름만 유출된 것이 아니라 학교와 학년, 전화번호, 주소 등 개인을 특정할 수 있는 정보가 함께 노출됐다. 향후 스미싱이나 피싱, 사칭 등 2차 피해 가능성에 대한 우려가 나오는 이유다.

정상JLS는 사고 발생 이후 접근 경로를 차단하고 보안조치를 실시했으며 한국인터넷진흥원과 개인정보보호위원회에 신고하고 수사기관에 수사를 의뢰했다. 동구 역시 피해 사실을 공지하고 후속 조치에 나섰다.

그러나 이번 사태를 단순히 ‘민간 수탁업체의 해킹 사고’​로 치부해서는 안 된다는 지적이 나온다.

글로벌 드림캠퍼스는 민선 8기 동구가 역점적으로 추진한 공공형 외국어 교육시설이다. 동구는 옛 동구문화원 부지를 활용해 시설을 조성했고, 리모델링비와 자산취득비 등을 포함해 공식적으로 약 59억6400만원을 투입했다. 운영은 정상JLS가 맡았다.

문제는 수십억 원의 예산을 들여 만든 공공시설의 핵심 이용자인 학생과 학부모의 개인정보가 민간 수탁기관의 온라인 시스템을 통해 관리됐다는 점이다.

공공시설의 운영을 민간에 맡길 수는 있다. 하지만 개인정보 보호까지 민간업체에 사실상 맡겨놓고 지자체가 사후적으로 사고를 확인하는 구조라면 이야기가 달라진다.

민선 8기 당시 사업을 설계하면서 개인정보 보호와 민간위탁 관리·감독 체계를 얼마나 촘촘하게 마련했는지에 대한 검증이 필요한 이유다.

더구나 동구가 올해 편성한 글로벌 드림캠퍼스 위탁운영비는 약 14억 원 규모다. 올해에는 대전시와 동구가 운영비를 나눠 부담하지만 2027년부터는 동구가 연간 14억 원 이상의 운영비를 자체 부담해야 하는 구조다.

수십억 원을 들여 시설을 만들고, 매년 10억 원이 넘는 세금을 투입하면서, 정작 학생 개인정보 관리에는 구멍이 뚫린 것 아니냐는 비판을 피하기 어렵다.

더 큰 문제는 사업의 타당성과 운영 방식에 대한 논란이 이미 제기됐다는 점이다. 민선 9기 들어 황인호 동구청장은 글로벌 드림캠퍼스의 운영비 부담과 민간위탁의 적정성을 재검토하고 교육청과의 협력 등 운영방식 전면 재검토 가능성을 시사했다.

결국 민선 8기가 야심 차게 추진한 사업이 막대한 재정 부담과 민간위탁 논란에 이어 개인정보 유출이라는 악재까지 겹친 셈이다.

동구가 공개한 사고보고서도 향후 대책으로 ‘개인정보 유출사고 후속조치 이행사항 점검 및 관리·감독 강화’, ‘수탁기관 대응 현황 지속 모니터링’, ‘2차 피해 예방을 위한 지도·감독’을 제시하고 있다.

하지만 사고 이후 관리·감독을 강화하겠다는 것만으로는 충분하지 않다. 왜 사고 이전에 관리·감독이 제대로 작동하지 않았는지부터 밝혀야 한다.

민선 8기 당시 수탁기관 선정 과정에서 개인정보 보호 능력을 어떻게 검증했는지, 위탁계약서에 개인정보 보호와 사고 발생 시 책임 및 보상 규정이 어떻게 담겼는지, 동구가 온라인 회원관리 시스템에 대한 보안점검을 실시했는지, 그리고 위탁업체 선정 과정 등을 낱낱이 공개해야 한다.

또 학생 420명과 학부모 217명의 개인정보 가운데 실제 어떤 정보가 외부로 유출됐는지, 무단 접근자가 어느 수준까지 개인정보를 조회했는지, 유출 정보가 제3자에게 넘어갔는지도 명확하게 밝혀야 한다.

아이들의 개인정보는 행정 실험의 대상이 아니다. 공공 교육시설을 이용한 학생과 학부모가 제공한 개인정보를 안전하게 보호하는 것은 지자체와 수탁기관의 가장 기본적인 책무다.

글로벌 드림캠퍼스가 민선 8기의 대표 교육사업이었다면 이번 개인정보 유출 사태는 단순한 해킹 사건을 넘어 사업 추진 과정의 타당성, 민간위탁 구조, 관리·감독 시스템이 제대로 설계됐는지를 되돌아보게 하는 경고음​이다.

동구가 해야 할 일은 책임을 수탁기관에 돌리는 것이 아니다.

59억 원이 넘는 예산을 투입하고 매년 10억 원대 운영비를 부담하는 공공 교육사업을 왜 이렇게 설계했는지, 그리고 그 과정에서 학생들의 개인정보를 얼마나 안전하게 보호했는지 시민 앞에 처음부터 끝까지 설명하는 것이다.

민선 8기의 ‘치적’으로 내세웠던 글로벌 드림캠퍼스가 이제는 ‘졸속 사업’이라는 오명을 남기지 않으려면 철저한 원인 규명과 운영체계 전면 재검토가 불가피하다.