지난해 치러진 고등학교 2학년 전국연합학력평가 성적 자료를 처음으로 해킹한 20대 대학생 해커가 구속돼 검찰에 넘겨졌다. 범행 당시 그는 고등학생이었다.

1일 경기남부경찰청 사이버수사과는 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망 침입) 및 개인정보 보호법 위반 혐의로 서울 소재 대학교 학생 A씨를 구속했다고 밝혔다.

A씨는 지난 2월 18일 경기도교육청 학력평가시스템 서버에 불법침입해 지난해 11월 치러진 전국연합학력평가 고등학교 2학년 성적정보 27만여건을 탈취해 텔레그램 ‘핑프방’ 운영자 B씨에게 전달한 혐의를 받는다. B씨는 같은 날 오후 10시30분께 이 자료를 핑프방에 공유했다.

핑프방은 수험정보를 공유하는 텔레그램 대화방으로 참여자가 1만8000여명에 달한다.

A씨는 이밖에도 지난해 10월부터 이날까지 5개월간 200차례에 걸쳐 해외 IP로 우회해 경기도교육청 서버에 침입하고 100회가량 자료를 불법 다운로드한 혐의를 받는다. A씨가 해킹을 통해 탈취한 자료에는 지난해 4월 치러진 전국연합학력평가 고등학교 3학년 성적정보도 포함됐다.

경찰은 탈취된 파일의 유출경로를 추적하고 서버 로그 기록 등에 대한 분석을 통해 A씨를 피의자로 특정, 체포영장을 발부받아 지난달 23일 검거했다.

A씨는 “처음에는 내 성적 정보가 궁금해서 우연히 서버의 취약점을 발견하고 성적 정보를 탈취했다”며 “나중에는 실력을 과시할 목적으로 텔레그램 채널 운영자에게 정보를 전달했다”고 경찰 조사에서 진술했다.

A씨는 현재 서울 명문대 컴퓨터 관련 학부에 재학 중으로 고등학교 3학년이던 지난해 처음으로 경기도교육청 서버를 해킹했다.

심지어 경기도교육청은 A씨가 서버를 해킹한 5개월 동안 피해 사실을 전혀 인지하지 못한 것으로 드러났다. 지난 2월 19일 한 인터넷 커뮤니티에 도교육청 서버를 해킹해 전국연합학력평가 성적 자료를 확인했다는 글이 올라온 이후에야 경기도교육청은 부랴부랴 해킹 관련 수사를 의뢰했다.

경찰은 이번에 붙잡힌 해커 A씨를 포함해 경기도교육청 서버에 불법침입한 피의자 4명, 유출된 성적정보를 유포한 피의자 2명, 이를 재유포한 피의자 2명, 유포에 사용된 텔레그램 채널과 유사한 채널을 만들어 성적정보를 판매하려 한 피의자 1명 등 총 9명을 검거했다.

그러나 교육부가 올해 4월 자체적으로 실시한 조사에서 2019년 4월·11월, 2021년 4월·11월 등 경기도교육청이 주관한 또 다른 4차례의 학력평가 성적 자료도 유출된 사실이 추가로 밝혀졌지만 이에 대한 수사는 전혀 이뤄지지 않고 있다.

고2 학생들의 성적 정보 유포 사건을 수사한 경찰은 2019년과 2021년 학력평가 성적 자료 유출에 대해서는 수사 의뢰나 고발이 접수되지 않아 수사하지 않았다는 입장이다.

경찰 관계자는 "수사 의뢰나 고발이 없어도 범죄를 인지하고 단서가 있으면 수사할 수 있지만 교육 당국으로부터 구체적인 침입 IP(인터넷 프로토콜)나 탈취된 파일이 무엇인지 등을 전혀 제공받지 못했고 이에 경찰은 작년 학력평가 성적 자료 유출 사건에 집중했다"며 "지금이라도 수사 의뢰나 고발이 들어오면 수사에 나설 수 있다"고 설명했다.

추가 피해 사실을 자체 조사로 밝혀낸 교육부는 수사 협조 차원에서 경찰에 조사 결과를 제공했지만 수사 의뢰는 하지 않은 것으로 나타났다.

교육부 관계자는 "수사 의뢰나 고발은 당사자인 경기도교육청이 하는 게 맞기 때문에 교육부는 하지 않았다"고 선을 그었다.

이에 경기도교육청 측은 "교육부가 경찰에 조사 결과를 제공한 사실을 공문을 통해 우리 쪽에 알리며 적절한 조치를 하라고 해서 도 교육청은 개인정보보호위원회와 추가 피해를 본 학생들에게 피해 사실을 통보하고 도 교육청 홈페이지에 이를 알리는 글을 게시했다"고 밝혔다.

수사 의뢰를 두고 교육부와 도 교육청의 소통이 원활히 이뤄지지 않았음을 나타내는 대목이다.

경기도교육청 관계자는 "오늘 경찰의 수사 결과 발표에 따라 추가로 필요한 조치가 있으면 적극 협조하겠다"고 말했다.