학력평가 성적 유출 첫 유포자는 재수생... 경찰, 해커 추적 중

경찰, 첫 유포자 구속...5명 검거 조사 중
과시용으로 관련 자료 받아 공유 확인
도교육청, 10대도 해킹해 보안 허술

경기남부경찰청사. 한국일보 자료사진

경기도교육청 주관으로 지난해 11월 치러진 전국연합학력평가(학평) 성적 자료 유출 사건과 관련, 경찰이 최초 자료 유포자인 20대를 붙잡았다. 해킹을 통해 관련 자료를 빼 낸 5명도 검거해 조사 중이다.

경기남부경찰청 사이버수사과는 정보통신망법 위반(개인정보유출) 혐의로 20대 남성 A씨를 구속 수사 중이라고 27일 밝혔다. A씨로부터 받은 자료를 가공해 유포하거나 보관해온 B씨 등 4명과 도교육청 서버를 해킹해 자료를 빼낸 10대 C군도 붙잡아 조사하고 있다.

A씨는 2월 18일 오후 10시 30분쯤 자신이 운영하는 텔레그램 채팅방 ‘핑프방’에 신원이 확인되지 않은 해커로부터 받은 학평 성적 자료를 유포한 혐의를 받고 있다. 경찰은 A씨가 평소 채팅방에서 입시 및 성적 관련 자료를 업로드하거나 공유한 뒤, 인기를 과시하기 위해 벌인 행위로 파악하고 있다. B씨는 A씨와 함께 ‘핑프방’ 채널을 공동 운영하면서 성적 자료를 텔레그램 채널과 인터넷 커뮤니티 게시판 등에 가공하거나 재유포했다. 나머지 3명도 같은 방식으로 개인정보를 누설한 혐의를 받고 있다. 경찰은 A씨와 B씨에게 저작권법 위반 혐의 적용을 검토하고 있다.

이들과 별개로 C군은 학평 자료들이 텔레그램 등에 떠돌자, 프로그램을 해킹해 관련 자료를 받아 보관해온 것으로 확인됐다. C군은 “평소 컴퓨터에 관심이 많아 실력을 시험해보고 싶어 해킹을 시도했다”고 진술했다.

경찰은 학평 성적 자료를 해킹한 해커는 여전히 추적 중이다. 경찰은 해커가 해외 IP를 통해 도교육청 서버에 침입한 사실까진 확인했다. 이 과정에서 도교육청 서버 보안관리가 부실한 사실도 파악했다. 경찰에 따르면, 도교육청은 업체에 성적관리를 위탁하면서 장학사 1명에게 최종관리 책임을 맡겼다. 해당 업체에서 파일을 생성해 업로드하면 해당 파일 이름이 변경된다는 도교육청 설명과 달리 실제로는 이름 변경 없이 그대로 서버에 남아 있는 것도 확인됐다. 당초 도교육청 설명에 따라 수사에 착수한 경찰은 파일 이름이 변경된 뒤 자료가 유출된 것으로 보고 내부소행에 초점을 맞췄다. 하지만 파일 이름변경도 없었고, 뒤늦게 확보한 특정 IP 추적 결과 외부 침입 흔적을 발견했다.

앞서 도교육청은 지난해 11월 치러진 학평 성적 자료가 유출된 정황을 확인하고 지난 2월 경찰에 수사 의뢰했다. 유출된 자료에는 전국 15개 시도교육청에서 응시한 고고 2학년생 27만여 명의 시험성적과 학교, 이름, 성별 등이 담겼다.

임명수 기자 sol@hankookilbo.com