[더버터] 개인정보 유출 사랑의열매, 관리 절차 묻자 “확인 어렵다”

어떻게생각하십니까
법정모금단체 기부자 정보 유출

비영리 운영의 책임성과 투명성을 강조해 온 국내 최대 법정모금기관에서 기부자들의 개인정보가 잇달아 유출되는 사고가 발생했다. 사회복지공동모금회 사랑의열매에서는 2000만원 이상 고액 기부자들의 실명과 주민등록번호 등 개인정보가 유출됐다. 전국재해구호협회에서도 1600명에 달하는 기부자의 개인정보가 공개된 사실이 확인됐다.

사랑의열매는 “홈페이지에 게시된 2024년 공익법인 결산서류 공시자료 첨부파일에 기부자님의 개인정보 일부가 노출된 사실이 확인됐다”며 “진심으로 깊이 사과드린다”는 사과문을 지난 6일 게재했다. 개인정보가 노출된 사람은 총 647명이다. 유출된 항목은 이름, 주민등록번호, 기부금액이다. 이 중에는 정치인·기업인·연예인 등 유명 인사의 정보도 다수 포함된 것으로 알려졌다. 해당 게시물은 지난해 4월 25일부터 올해 3월 4일까지 총 314일 동안 홈페이지 게시판에 공개돼 있었다.

전문가들은 이번 사태가 기본적인 절차와 시스템이 갖춰졌다면 충분히 막을 수 있었던 사고라고 지적한다. 외부에 개인정보가 담긴 문서를 게시하거나 전송하기 전에는 주민등록번호 같은 민감한 정보가 포함됐는지 자동으로 탐지해 차단하거나 마스킹하는 절차를 두는 것이 일반적이다. 절차상으로도 통상 여러 단계의 검수와 결재를 거치도록 관리한다. 이번 사례는 이 같은 최소한의 장치가 제대로 작동하지 않았거나, 애초에 마련되지 않았음을 보여준다. 김형중 고려대 정보보호대학원 교수는 “간단한 필터링 시스템이나 차단 장치만 있었어도 충분히 예방할 수 있었던 사고”라며 “이런 기본적인 시스템이 작동하지 않았다는 것은 조직 내부의 보안 인식과 관리 체계가 상당히 느슨했다는 의미”라고 지적했다. 이어 “쿠팡 개인정보 유출 사건의 경우 일부 정보가 외부로 유출된 것이지만 이번 사례는 기관이 운영하는 홈페이지에 민감한 개인정보가 사실상 공개된 형태”라며 “주민등록번호까지 포함된 정보가 장기간 공개된 점을 고려하면 파급력이나 위험성 측면에서 훨씬 심각하게 볼 수 있다”고 말했다.

사랑의열매 측은 더버터와의 통화에서 공시 자료의 게재 절차와 시스템에 대해 “자세한 사항은 확인이 어렵다”면서 “정해진 법령에 따라 대응팀을 구성하고 절차를 진행할 계획”이라고 밝혔다.

문제는 법정모금기관은 일반 비영리단체와 다른 지위에 있다는 점이다. 사랑의열매는 사회복지공동모금회법에 따라 1998년 설립된 법정 전문 모금·배분기관이다. 매년 1조원 가까운 규모의 모금액을 전국의 수천 개 비영리단체에 배분하며, 이들 단체의 사업과 회계 운영에 대해 투명성과 책임성을 강조해 왔다. 이 때문에 내부 관리 기준 역시 그에 걸맞은 수준이어야 한다는 지적이 나온다.

한 비영리 관계자는 “법정모금기관은 일반 비영리와 달리 공적인 책임이 강하고 사실상 비영리 생태계에서 기준을 제시하는 위치에 있다”며 “이런 기관 내부에서 가장 기본적인 기부자 개인정보 보호조차 제대로 작동하지 않은 건 상당히 아이러니한 상황”이라고 말했다. 이어 “기부자 데이터는 모금 단체가 가장 엄격하게 관리해야 할 정보 중 하나”라며 “이번 사건이 특정 기관의 문제가 아니라 비영리 섹터 전체에 대한 신뢰 문제로 번질까 봐 우려된다”고 했다.