보도자료	안 명 옥의원 TEL : 784-0929, 788-2174 FAX : 788-3234 www.amo21.net	한나라당 보건복지위원회 2007년 10월 24

국민연금, 건보공단, 심평원

보안전산망 다 뚫렸다

-「2006년 정보보안컨설팅 모의해킹 결과보고서」 분석 -

□【국민연금】홈페이지 통해 개인정보 35만건 유출

- 국민연금 홈페이지 통해 이름, 주민번호, 주소, 전화번호, 이메일 등 홈페이지 회원 개인정보 35만건 유출

- 메일서버, 관리자 페이지도 접수해 마음대로 열람하기도

□【건보공단】내부망으로 건보 가입자정보 모두 유출 가능

- 내부망으로 해킹시에는 진료정보, 재산정보 등 건강보험 가입자에 대한 모든 정보 유출될 수 있어

(※내부망은 본원 정보관리실 컴퓨터 100대에서 접속 가능)

- 노인요양보험 홈페이지 서버 내부 침투 성공... 홈페이지 마비시킬 수도 있어

□【심평원】홈페이지 회원 개인정보 유출, 내부망도 취약

- 홈페이지회원 개인정보 유출, 직원메일도 열람 가능

- 청구심사서버 접속시, 진료정보, 개인정보 등 모두 유출가능

- 인사, 회계 등 심평원 내부자료 2억6천만건 유출

- 본원 네트워크 침투해 전산기능 마비시킬 수 있어

□ 후속조치 완료됐지만, 해킹기술 발달로 정보유출 위험성 상존기관별 보안전담부서 신설하고, 방어장치 실시간 보완해야...

- 해마다 개인정보 유출사고를 반복하고 있는 국민연금관리공단, 국민건강보험공단, 건강보험심사평가원 등의 내․외부 전산망이 해커들의 공격에 무방비로 뚫릴 수 있다는 충격적인 결과가 발표됐다. 이러한 사실은 한나라당 안명옥의원(보건복지위)이 국민연금공단, 국민건강보험공단, 건강보험심사평가원으로부터 각각 제출받은 「2006년 정보보안컨설팅 모의해킹 결과보고서」를 통해 밝혀졌다.

- 이들 3개 기관은 국가정보통신기반시설로 지정되어 있고, 「정보통신기반보호법」제9조에 의거 2년 마다 정보보안컨설팅을 의무적으로 받도록 되어 있다. 정보보안컨설팅 결과보고서는 모두 대외비로 관리되고 있어, 결과 중 일부만을 제출받거나 열람하여 분석했음을 밝혀둔다.

<정보보안컨설팅(모의해킹 포함) 개요>

구 분	국민연금공단	국민건강보험공단	건강보험심사평가원
일 시	`06.10.11～12.19(70일간)	`06.10.11～`07.1.10(90일간)	`06.8.8～`06.11.7(90일간)
수행주체	정보시스템실장 외 11명, 컨설팅업체 4명	정보관리실장 외 13명, 컨설팅업체 4명	정보관리부장 외 5명 컨설팅업체 8명

※ 자료 : 국민연금공단, 국민건강보험공단, 건강보험심사평가원, 2007. 10

○ 국민연금, 국민연금홈페이지 통해 회원 개인정보 35만건 유출메일서버, 관리자 페이지도 접수해 마음대로 열람하기도...

- 모의해킹 결과 국민연금공단은 홈페이지에서 치명적인 약점이 발견됐다. 홈페이지에 불필요하게 방치된 소스코드 등 정보를 활용해 해킹을 시도한 결과, 홈페이지에 등록된 회원 35만명의 개인정보 유출을 성공시켰던 것으로 드러났다. 유출된 35만명의 개인정보에는 이름, 주민번호, 주소, 전화번호, 이메일 등이 모두 포함되어 있던 것으로 확인됐다.

- 연금공단 직원들이 사용하고 있는 메일서버에도 침입이 가능했던 것으로 드러났다. 이는 공단직원들의 이메일내용을 무단열람하거나, 메일로 송수신한 중요한 업무정보들이 유출될 수 있다는 것을 의미한다. 홈페이지의 관리자 페이지에도 침입했는데, 이 경우 홈페이지에 게시된 내용을 무단삭제하거나 악성 게시글을 올리는 것이 가능하다.

<국민연금공단 모의해킹 결과>

구 분	모의해킹 결과	파장효과
외부망	∘공단 홈페이지 웹서버 침투	∘홈페이지 회원 35만명의 이름, 주소, 주민번호, 전화번호, 이메일 유출
	∘메일서버 침투 ∘관리자페이지 침투	∘공단직원 이메일 열람 가능 ∘홈페이지 게시글 등 임의작성 가능

※ 자료 : 국민연금관리공단(안명옥의원 재구성), 2007. 10

○ 건보공단, 내부망으로 건보 가입자정보 모두 유출 가능...

노인요양보험 홈페이지 서버 내부 침투...홈페이지 마비도 가능

- 국민건강보험공단의 경우도 내․외부 전산망 모두에서 취약점이 노출됐다. 내부망으로 접속하여 해킹을 시도한 결과 진료정보, 재산정보 등 건강보험 가입자에 대한 모든 정보를 유출할 수 있었던 것으로 확인됐다. 건보공단의 내부망은 현재 공단 본원 정보관리실 컴퓨터 100대에서 접속이 가능한 상태이다.

- 건보공단 홈페이지는 특별한 취약점이 없는 것으로 나타났으나, 노인요양보험 홈페이지의 경우 서버 내부로 침투가 가능했던 것으로 확인됐다. 이 경우 해커가 홈페이지를 다운시키는 등 다양한 공격이 가능한 것으로 알려졌다.

<국민건강보험공단 모의해킹 결과>

구 분	모의해킹 결과	파장효과
외부망	∘노인요양보험 홈페이지 서버내부로 침투	∘홈페이지 마비시키는 등 악성조작 가능
내부망1)	∘내부 전산망 침투	∘진료정보, 재산정보, 인적사항 등 건강보험 가입자에 대한 모든 정보 유출 가능

※ 자료 : 국민건강보험공단(안명옥의원 재구성), 2007. 10

주 : 내부망은 본원 정보관리실 컴퓨터 100대에서 접속이 가능함.

○ 심평원, 홈페이지 회원 개인정보 유출...직원메일도 열람 가능

내부망으로 접속시 진료정보, 인적사항 등 모든 정보 유출돼

- 건강보험심사평가원도 심각한 약점을 드러냈다. 홈페이지 게시판에 글을 올린 회원들의 개인정보를 획득할 수 있었는데, 이를 통해 글쓴이의 이름, 주민등록번호, 주소, 연락처 등 개인정보가 유출됐다. 또한 모든 심평원 직원들의 개인정보를 유출할 수 있었고, 업무용 이메일의 패스워드를 해킹하여 내용을 무단 열람할 수 있었다.

- 내부망에 해킹을 시도한 결과, 건강보험 가입자의 진료정보는 물론 요양기관의 청구심사 정보까지 유출할 수 있었다. 또한 인사, 회계데이터 등 심평원 내부자료 2억6천만건을 유출했으며, 본원 네트워크에 침투해 전산기능을 마비시키는 것도 가능했던 것으로 밝혀졌다.

<건강보험심사평가원 모의해킹 결과>

구 분	모의해킹 결과	파장효과
외부망	∘홈페이지회원 개인정보침투 ∘직원메일 침투	∘가입자 주민번호, 주소 등 유출 ∘주요 업무정보 유출
내부망1)	∘지원 청구심사서버 침투 ∘본원 네트워크 침투 ∘내부 업무용서버 침투	∘환자 진료정보, 개인정보 모두 유출 ∘심평원 전산기능 마비 ∘인사, 회계 등 심평원 내부자료 2억6천만건 유출

※ 자료 : 건강보험심사평가원(안명옥의원 재구성), 2007. 10

○ 후속조치 완료됐지만, 해킹기술 발달로 정보유출 위험성 상존기관별 보안전담부서 신설하고, 방어장치 실시간 보완해야

- 물론 3개 기관의 전산망이 모두 뚫렸다고 해서 당장 해커들이 해킹에 성공할 수 있는 것은 아니다. 모의해킹 과정에서는 해커가 각 기관별 전산환경의 특성을 인지한 상태에서 해킹을 시도한 것인 만큼, 불순한 의도를 가진 악성해커들보다 성공률이 높다는 점을 고려해야 한다.

- 그러나 국민의 소중한 개인정보를 보유한 공공기관들의 전산망이 치명적인 허점을 노출했다는 점은 명백한 사실이다. 또한 컨설팅회사의 해커들보다 더욱 전문적인 기술을 가진 해커들이 얼마든지 있는 만큼, 이러한 결과를 결코 가볍게 여겨서는 안 될 것이다.

- 이러한 실태와 관련해 안명옥 의원은 “해당기관들은 모의해킹 결과에 따라 즉각 후속조치를 완료했다고 주장하고 있지만, 해킹기술이 나날이 발전하고 있는 상황에서 보안조치를 취했다고 해서 안심할 수 없다. 2년 마다 실시하는 정보보안컨설팅에서 매번 새로운 취약점이 발생한다는 것은, 실시간으로 정보방어력을 보완해 나가지 않으면 언제든 해킹의 위험에 노출될 수 있다는 것을 의미한다.”고 지적했다.

- 이어 안의원은 “해당기관에는 전 국민의 건강, 재산, 인적정보 등 최우선적으로 보호해야 할 중요정보들이 집적되어 있는 만큼, 2년 마다 실시하는 보안컨설팅 외에도 동일한 수준의 보안점검을 상시적으로 실시해야 한다. 이를 위해 각 기관별로 보안전담부서를 신설하고, 외부의 전문인력에 버금가는 최고의 보안전문가를 배치하여 만약의 사태에 대비해야 한다.”고 강조했다.