개인정보위 JAMS 처분 보도자료는 연구재단이 포털만 점검하고 학회페이지 1,600여 곳을 빼놓았다고 적었다. 한국재료부식학회 회원 2,866명 판매는 아직 판매자 주장이다.
학회에 가입하며 이름과 휴대전화, 집 주소, 경력을 적어 낸 적이 있다면 그 정보는 회사 보안망 밖에 있다.
9월 18일 해킹 포럼 다크포럼스에 올라온 판매 글은 바로 그 자리를 겨냥했다고 주장한다. 판매자는 한국재료부식학회에서 빼냈다는 회원 2,866명분 정보를 500달러어치 암호화폐에 내놓았다.
보안뉴스 보도에 따르면 샘플에는 한국원자력연구원·포스코·삼성·현대·SK그룹·한국수력원자력 소속 회원 이름이 들어 있었다. 학회는 "사실로 단정하기 어렵다"며 사실관계를 확인하고 있다고 밝혔다.
주장이 사실로 확인될지는 아직 모른다. 다만 학회 단위 페이지가 점검에서 통째로 빠져 있던 사례는 이미 규제 기록으로 남아 있다. 올해 1월 개인정보보호위원회가 한국연구재단에 내린 JAMS 처분이다.
판매 글의 제목은 '한국 과학계 전체 멤버 DB'였다. 보안뉴스가 옮긴 주장과 지금까지 확인된 범위를 나누면 이렇다.
| 항목 | 판매 글 주장 | 확인된 범위 |
|---|---|---|
| 규모 | 회원 2,866명, 기관별 수십 명 | 학회: 실제 회원 정보인지 확인되지 않았다고 밝힘 |
| 개인정보 | 한·영 성명, 휴대·유선 전화, 거주지 주소, 생년월일, 성별, 경력 등 | 샘플 일부 실명이 실존 교수로 조회됨 |
| 권한 | 로그인 자격 증명, 학회 CMS(콘텐츠 관리 시스템) 완전한 관리자 권한 | 공식 확인 없음 |
보안뉴스도 데이터의 진위는 공식 검증되지 않았다고 적었다. 확인된 것은 샘플 속 일부 이름이 실존 교수 실명으로 검색된다는 데까지다. 게시물에는 학회 홈페이지 주소가 표시돼 있었다.
보안뉴스가 옮긴 판매 글 항목은 '경력 내역 등'으로 끝나는 예시이고, 이메일은 따로 적히지 않았다. 기사에 실린 위협 인텔리전스 업체 SOCRadar의 평가는 원자력·조선 분야 "업무용 이메일 주소"가 들어 있다고 전제한다.
SOCRadar는 이 데이터가 표적형 스피어피싱이나 간첩 활동에 쓰일 위험이 크다고 봤다. 샘플에 이메일이 실제로 있는지는 공개된 자료만으로 가릴 수 없다.
학회는 관련 시스템을 점검하고 있으며, 필요하면 관계 기관과 협의하겠다고 했다. 회원들에게도 관련 내용을 안내하겠다고 밝혔다. 9월 27일 확인한 학회 누리집 공지사항에는 관련 공지가 없고, 최신 글은 8월 24일 추계학술대회 안내다.
이 학회는 옛 이름이 한국부식방식학회이고, 올해 1월 누리집에 학회 명칭 변경 안내를 올렸다. 학술지 Corrosion Science and Technology를 내는 곳이다.
JAMS는 한국연구재단이 운영하는 온라인 논문투고시스템이다. 개인정보위 처분 보도자료에 따르면 JAMS는 포털 하나와 학회페이지 1,617개(2025년 기준)로 이뤄져 있다. 공격은 학회페이지 쪽 '비밀번호 찾기' 주소에서 시작됐다.
보도자료가 설명한 결함은 단순했다. 주소에 적힌 이메일만 바꾸면 ID와 이름을 넣지 않아도 그 회원의 개인정보 화면이 열렸다. 공격자는 이메일을 무작위로 바꿔 넣으며 약 12만 명의 정보를 열람했다.
열람된 항목은 성명·ID·이메일·휴대전화번호·계좌번호 등 44개였다. 연구재단은 주민등록번호를 수집하지 않았다. 그런데 회원들이 '비고'란에 스스로 적어 넣은 주민등록번호 116건도 함께 나갔다.
개인정보위가 위반 내용 첫머리에 적은 것은 오래 방치된 취약점과 점검 범위다. 이 취약점은 2013년부터 있었지만 연구재단은 오랫동안 찾아내지 못했다. 취약점 점검은 JAMS 포털에만 했고, 1,600여 개 학회페이지는 점검하지 않았다.
제재는 과징금 7억300만 원과 과태료 480만 원이다. 머니투데이 제목처럼 '벌금 7억'으로 옮긴 보도도 있었지만, 개인정보위 보도자료의 표현은 과징금과 과태료다.
개인정보위는 JAMS 취약점 점검과 누락 항목을 넣은 재통지를 명령했다. 처분 결과는 개인정보위 누리집에 1년간 공표하고, 연구재단 누리집에도 공표하도록 했다.
개인정보위는 이 사고를 "매우 중대한 사고"로 판단했다. 연구 내용까지 폭넓게 가진 시스템에서 취약점이 오래 방치됐고, 관리체계 전반이 부실했으며, 명의도용 2차 피해가 현실이 됐다는 이유다. 보도자료는 재단이 해킹 뒤에도 시스템을 충분히 고치지 않은 채 운영했다고 적었다.
경향신문이 전한 재단의 사과 메일은 유출 항목을 생년월일·연락처·ID·성명·이메일로 적었다. 개인정보위는 이 통지가 휴대전화번호·계좌번호·연구자등록번호 등을 빠뜨렸다고 판단했다. 공격부터 처분까지는 이렇게 흘렀다.
학회 쪽 사고가 개인정보위 처분까지 간 기록은 JAMS보다 앞서도 있다. 개인정보위는 2021년 10월 대한의학회에 과태료 1,650만 원을 부과했다. 누리집 관리자 인증수단의 허점을 악용한 해킹으로 학회 활동자 등 약 9,221명의 이름과 휴대전화 번호 등이 유출된 건이다.
조사에서는 동의 없는 개인정보 수집과 안전성 확보조치 미흡 등 5개 항목 위반이 나왔다. 두 기록은 뚫린 층이 다르다. JAMS는 연구재단 플랫폼 안의 학회페이지였고, 대한의학회는 학회 자체 누리집의 관리자 인증이었다.
한국재료부식학회 판매 글이 내세운 것은 '학회의 콘텐츠 관리 시스템' 관리자 권한이다. 게시물에 표시된 주소도 학회 홈페이지였다. 주장은 학회 누리집 쪽을 가리키지만, 실제 침투 경로는 공식 확인되지 않았다. 보안뉴스 보도에는 JAMS가 나오지 않고, 이 학회가 JAMS를 쓰는지도 확인하지 못했다.
재료부식학회 건은 공식 확인된 침해 흔적이 없다. 판매자가 주장한 관리자 권한은 사실이라면 CMS 관리자 계정의 접속 기록에 남을 수 있는 종류다. SOCRadar도 유출된 인증 정보를 이용한 무단 접근 시도를 지켜봐야 한다고 권고했다.
가장 가까운 확인 사례는 JAMS다. 경향신문이 전한 안내 메일에서 재단은 공격 직후 "비밀번호가 변경되지 않아 개인정보 유출은 발생하지 않았다"고 알렸다. 그런데 개인정보위 보도자료가 밝힌 결함은 비밀번호를 바꾸는 단계까지 가지 않아도 회원정보 화면을 띄웠다.
재단 설명에 따르면 유출은 과기정통부 주도 2차 조사에서 송수신 데이터를 확인하고서야 드러났다.
공격 모양도 기록으로 드러날 수 있는 형태였다. 비밀번호 찾기 주소에 파라미터를 바꿔 가며 이메일을 무작위로 넣는 식이라, 요청 주소까지 적는 웹서버 접근 로그라면 그대로 찍힌다. 참고 자료 범위에서는 JAMS 접근 로그에 이 요청이 실제로 남았는지 확인되지 않는다.
웹방화벽 기록도 있었다. 개인정보위 보도자료에 따르면 JAMS 웹방화벽은 사고 전에 이미 주민등록번호 형식(숫자 13자리)을 탐지했다. 연구재단은 이를 오탐으로 보고 사실 확인을 하지 않았고, 보도자료는 이 대목을 '비고'란 주민등록번호 116건 유출과 나란히 적었다.
개인정보위는 과기정통부와 교육부에 "JAMS 관리·운영 실태 점검"을 강화해 달라고 요청했다. 산하 기관의 개인정보 보호 투자 유인도 마련해 달라고 했고, 주요 공공기관에는 안전조치의무 안내를 이어 가겠다고 밝혔다. 학회 자체 누리집은 이 요청 문구에 없다.
재료부식학회 건을 가를 다음 기록은 셋이다. 학회의 사실관계 확인 결과, KISA·개인정보위 신고 여부, 조사가 열린다면 그 결과다. JAMS는 공격에서 개인정보위 의결까지 7개월여가 걸렸다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.