지난해 6월 서울대병원은 북한 배후의 세력으로 추정되는 해커의 공격에 의해 일부 환자의 정보가 유출됐다. 당시 유출된 정보는 이름과 생년월일 성별과 같은 환자 개인의 기본적인 정보를 포함해 검사일과 진단명, 진료과 등의 민감한 정보 총 81만 건에 달하는 것으로 알려졌다. 의료기관은 시스템이 마비될 경우 생명과도 직결되는 부분이기에 민간 기업보다 몸값 협상에 더 유리할 수 있다는 점에서 공격 대상이 되고 있는 것으로 추측된다.

교육부 산하의 국립대 병원이나 교육기관 등을 노린 이러한 사이버 공격은 10년 전에 비해 6배 이상 증가했다는 분석이 나오고 있다. 의료정보와 교직원·학생 개인정보 등 민감한 데이터들을 보유하고 있지만 민간 기업보다 정보보안 대응 역량이 부족해 ‘해커의 표적’이 되고 있다는 것이다. 그런데도 일부 기관에서는 정보보안 예산을 오히려 줄이거나 한 자릿수 대응 인력만 갖춘 것으로 나타나 보안 강화 필요성이 제기되고 있다.

지난 15일 국회 교육위원회 소속 김영호 더불어민주당 의원이 교육부로부터 제출받은 자료에 따르면, 교육부와 소속 및 산하기관을 겨냥한 사이버 공격 시도 건수는 2011년 7611건에서 지난해 4만 2564건으로 약 456% 늘었다. 이들 기고나 대상 공격만 2015년 이후 꾸준히 4만 건이 넘게 발생하고 있다.

이 중에는 서울대병원의 사례처럼 실제로 공격이 성공한 사례도 적지 않았다. 김영호 의원실에 따르면 지난해 8월에도 모 국립대 시스템이 ‘경유지 악용’ 피해를 본 것으로 알려졌다. 이는 해커들이 추적을 피하기 위해 각 기관의 IT 시스템에 악성코드 등을 유포하는 일종의 ‘좀비 PC’로 만드는 수법이다.

최근 사물인터넷(IoT) 기기가 늘어나면서 경유지 악용 공격 건수도 지난해 868건으로 재작년(59건)에 비해 1371% 늘어났다. 국가정보원도 이에 지난 1월 국내 네트워크 장비들이 국제 해커 조직들의 공격 경유지로 악용되는 사례가 늘고 있다며 주의를 당부하기도 했다.

사회 전반적인 디지털 전환 속도가 빨라지고, 전 세계적으로도 의료·교육기관을 표적으로 한 사이버 테러는 기승을 보이고 있다. 지난 5월 아일랜드의 한 병원에서는 사이버 공격으로 시스템이 먹통이 되는 바람에 환자 의료기록을 열람할 수 없게 돼 진료가 불가능하게 된 초유의 사태도 발생했었다.

미국 일리노이주의 157년 역사를 지닌 흑인대학 링컨 칼리지 역시 지난해 사이버 공격에 의해 학내 시스템이 파괴됐으나 복구에 실패해 신입생 모집은 물론 학내 데이터접근, 기금 모집까지 중단되면서 결국 올해 초 폐교했다.

이런 국제적인 위협과 실질적인 사례들의 등장에도 불구하고 교육부 산하 일부 기관의 정보보안 관련 예산은 줄어들고 있다. 김 의원실에 따르면 지난해 서울대병원 정보보안 관련 예산은 7억8208만원으로 전년(19억1694만원) 대비 59.2% 줄었다. 전국 가입자 43만명에 이르는 사립학교교직원연금공단 예산 역시 2020년 7억3705만원에서 지난해 5억3023만원으로 감소했다. 강원대학교병원은 2019년에는 정보보안 담당 인력이 0명이었으나 2020년부터 1명으로 늘렸다.

증가하는 사이버 위협에 대응하기 위해 지난해 6월 교육부도 국정원과 함께 국립대학병원 정보보호 강화방안을 마련한 바 있다. 권역별 대학병원 차원에서도 올해 초 사이버 보안 협의회를 발족, 정보 공유 등 공동 대응에 나선 상황이다. 다만 사이버 공격이 잇따르는 만큼 더욱 철저한 대비가 필요하다는 지적이다.

김영호 의원은 "보건의료와 교육 분야 모두 빠른 디지털화가 이뤄지는 한편 민감정보를 노린 해커 공격도 끊이지 않고 있다"며 "관련 기관은 예산과 인력 확충 등으로 공격 대비에 완벽히 해야 한다"고 말했다.