|
▲연말정산 간소화 서비스 홈페이지 화면.연합뉴스 |
국세청은 27일 홈택스 연말정산 간소화 서비스 오류 조사 결과, 보안 허점으로 821명의 개인정보가 다른 사람에게 노출됐다고 발표했다.
연말정산 간소화 서비스는 지난 15일 오전 6시 민간인증서를 통한 간편인증 과정에 오류가 생긴 채로 개통했다.
간소화 서비스는 공동인증서나 민간인증서로 로그인해 이용할 수 있다.
올해는 이용 가능 민간인증서가 기존 카카오톡·통신 3사 PASS·페이코·삼성패스·KB국민은행 5종에 네이버·신한은행이 늘었다.
이 민간인증서 2종을 추가하는 과정에서 인증기관 연결용 프로그램에 결함이 발생했다.
로그인 절차는 ‘이용자 성명과 주민등록번호 입력’, ‘인증 요청 및 회신 등 간편인증’, ‘이용자 인적 사항과 인증 시 인적 사항 일치 여부 검증’ 단계로 진행된다. 이 중 일치 여부를 검증하는 단계가 누락된 것이다.
이에 A라는 사람의 이름과 주민등록번호를 입력하고 B라는 사람의 인증서로 인증해도 로그인이 완료되는 오류가 나타났다.
다른 사람의 이름과 주민등록번호만 알면 가족관계, 의료비 지출, 카드 사용 금액 등 연말정산 자료를 모두 조회할 수 있는 것이다.
국세청은 간소화 서비스 개통 시점부터 발생한 오류를 사흘 뒤인 18일 인지했다. 이후 당일 오후 8시부터 3시간가량 민간인증서 로그인을 차단한 뒤 오류를 수정했다. 그러나 사흘간 개인정보 노출 피해는 막을 수 없었다.
국세청은 시스템 오류가 있던 사흘간 로그인 기록을 모두 분석한 결과, 이용자 인적 사항과 인증 시 인적 사항이 다른 사례가 821건이라고 밝혔다.
다른 사람 이름과 주민등록번호를 적고 자신의 인증서로 로그인해 자료를 조회한 사람이 821명으로 결국 821명의 개인정보가 노출된 것이다.
국세청은 간소화 시스템 개통 이전에도 유사 사례가 있는지 추가 분석 중이다.
국세청은 개인정보보호법과 표준개인정보보호지침에 따라 5일 이내에 타인에 의해 자료가 조회된 821명에게 서면이나 이메일, 전화 등을 통해 개인정보 노출 사실을 개별 통지하기로 했다.
개별 통지에는 사과문, 타인에 의해 조회된 자료 내역, 개인정보 노출 시점, 향후 조치 방안, 피해 구제 절차 등을 포함할 계획이다.
다만 이번 노출 사례 중 상당수가 가족이나 지인에 의한 자료 조회일 가능성도 있다.
이에 국세청은 노출 피해 당사자에게 타인의 조회에 동의한 적이 있는지 확인하기로 했다.
만약 당사자 동의 없이 타인이 각종 자료를 조회해 개인정보가 유출된 사실이 확인된다면 피해 당사자는 개인정보보호위원회에 분쟁조정을 신청할 수 있다.
국세청은 외부전문가가 참여하는 개인정보보호검증 태스크포스(TF)를 구성해 이번 사건을 포함한 전산시스템 전반에 대한 개인정보 보호·관리 실태를 점검하고 재발 방지책을 준비할 방침이다.
프로그램 개발과 테스트 과정에서 오류 검증을 강화하고 개인정보 보호 조치 적정성을 진단하는 방안도 찾기로 했다.
국세청은 "이번 사건이 발생한 데 대해 납세자 여러분께 진심으로 사과드린다"며 "사안의 심각성을 깊이 인식하고 앞으로 이런 일이 재발하지 않도록 각고의 노력을 기울이겠다"고 밝혔다.
hg3to8@ekn.kr
;){kind=link}