숭실대, 재학생 이메일 계정 비밀번호 같은 패턴으로 초기화... 개인정보 유출 우려

이달 13일, ‘학생 대상 메일 서비스 재개 안내’ 공지하며 비밀번호 초기화
재학생, 휴학생, 졸업생 모두 포함...수백명 동일한 패턴으로 바꿔

[보안뉴스 김영명 기자] 숭실대(총장 장범식)는 최근 정보화팀에서 학생용 메일 서비스(Microsoft Office 365) 재개를 알리면서 비밀번호를 초기화했다고 공지했다. 하지만, 문제는 비밀번호를 동일한 패턴으로 전체 학생에게 일괄 적용해 초기화했다는데서 발생했다.

▲숭실대 로고[로고=숭실대]

지난 4월 13일 숭실대 정보화팀에서 공지한 해당 내용에 따르면, 그동안 전자메일 시스템 장애가 있었으며, 메일 서비스를 재개하면서 공지에 첨부된 안내자료에 따라 비밀번호를 변경해 사용하라고 알렸다. 또한, 해당 내용은 숭실대 홈페이지 SSU:catch 내 공지사항에 공지됐으며, 로그인 과정을 거치지 않고서도 홈페이지에 접속한 누구나 알아볼 수 있도록 전체공지가 됐다.

최근 보안뉴스에 제보된 내용에 따르면, 숭실대 교수와 교직원의 경우에는 전체 학생의 메일 주소와 학번을 확인할 수 있다고 했다. 따라서, 숭실대 교수와 교직원 가운데 단 한 명이라도 해당 이메일 계정이 해킹을 당한다면, 전체 학생의 메일 계정까지 유출되는 2차 피해가 발생할 수 있다는 우려를 표했다.

▲숭실대에서 학생 계정 비밀번호를 초기화했다는 공지사항[자료=숭실대]

특히 숭실대 계정은 2FA(Two-factor authentication, 2단계 보안인증) 기능을 사용하지 않는다. 단순히 아이디와 비밀번호만 입력하면, 스마트폰 인증이나 이메일 인증 없이도 곧바로 계정에 로그인이 가능해 해당 계정 사용자의 모든 개인정보에 접근할 수 있다는 의미다. 이와 함께 숭실대는 이메일 로그인 비밀번호를 사용하고 있는 조합 코드(일관된 비밀번호 조합 규칙)를 공지해 더 큰 논란이 일고 있는 것으로 보도되기도 했다.

이번 사건과 관련해 숭실대 관계자는 “이번 공지사항으로 개인정보 노출 우려에 대한 학생들의 우려가 빗발쳤다”며 “즉시 공지 내용을 수정했으며, 피해가 있으면 곧바로 대응하겠다”고 밝혔다.

한편, 숭실대는 최근 자료에 따르면 2021년 기준으로 재학생은 학부생 1만 3,792명, 대학원생 2,554명, 교직원은 1,380명 등 총 1만 7,726명인 것으로 알려졌다.
[김영명 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)