국세청, 연말정산 정보 노출…이름·주민번호 알면 모든 자료 조회

국세청 간편인증 과정서 오류 발생

주민번호와 인증서 달라도 로그인

15일 오픈 직후 3일간 821명 피해

국세청 홈페이지 간편인증 로그인 화면. ⓒ국세청

국세청 홈택스 연말정산 간소화 서비스 오류로 821명의 개인정보가 다른 사람에게 노출된 것으로 드러났다.

국세청은 27일 홈택스 연말정산 간소화 서비스 오류 조사 결과를 통해 이같이 밝혔다.

지난 15일 6시 개통한 국세청 연말정산 간소화 서비스는 민간인증서를 이용한 간편인증 과정에서 오류가 발생했다.

올해 카카오톡과 통신 3사, 페이코, 삼성패스, KB국민은행 등 기존 민간인증서에 네이버와 신한은행 2종을 추가했는데 오류는 신규 민간인증서 2종을 새로 적용하는 과정에서 발생했다.

로그인 절차는 이용자 성명과 주민등록번호 입력, 인증 요청 및 회신 등 간편인증, 이용자 인적 사항과 인증 시 인적 사항 일치 여부 검증 단계로 진행되는데, 이 중 일치 여부를 검증하는 단계를 누락한 것이다.

예를 들어 A씨 이름과 주민등록번호를 입력한 뒤 B씨 인증서로 인증을 해도 로그인이 가능한 형태다. 다른 사람 이름과 주민등록번호만 알면 가족관계, 의료비 지출, 카드 사용 금액 등 연말정산 자료를 모두 조회할 수 있게 된 것이다.

해당 오류는 15일 간소화 서비스 개통 당시부터 발생했고, 국세청은 사흘 뒤인 18일 오류사실을 인지했다. 해당 기간 개인정보가 노출된 사람은 821명이다.

국세청은 “시스템 오류가 있던 사흘간 로그인 기록을 모두 분석한 결과, 이용자 인적 사항과 인증 시 인적 사항이 다른 사례가 821건”이라고 밝혔다. 국세청은 간소화 시스템 개통 이전에 유사한 사례가 있는지도 추가 분석 중이다.

국세청은 개인정보보호법과 표준개인정보보호지침에 따라 5일 이내에 타인에 의해 자료가 조회된 821명에게 서면이나 이메일, 전화 등을 통해 개인정보 노출 사실을 개별 통지하기로 했다.

개별 통지에는 사과문, 타인에 의해 조회된 자료 내역, 개인정보 노출 시점, 향후 조치 방안, 피해 구제 절차 등을 포함할 계획이다.

다만 이번 노출 사례 중 상당수가 가족이나 지인에 의한 자료 조회일 가능성이 있는 만큼, 국세청은 노출 피해 당사자에게 타인의 조회에 동의한 적이 있는지 확인을 거치기로 했다.

만약 당사자 동의 없이 타인이 각종 자료를 조회해 개인정보가 유출된 사실이 확인된다면 피해 당사자는 개인정보보호위원회에 분쟁조정을 신청할 수 있다.

국세청은 앞으로 유사한 사례가 재발하지 않도록 외부전문가가 참여하는 개인정보보호검증 태스크포스(TF)를 구성해 이번 사건을 포함한 전산시스템 전반에 대한 개인정보 보호·관리 실태를 점검하고 재발 방지책을 준비할 방침이다.

프로그램 개발과 테스트 과정에서 오류 검증을 강화하고 개인정보 보호 조치 적정성을 진단하는 방안도 강구하기로 했다.

국세청은 “이번 사건이 발생한 데 대해 납세자 여러분께 진심으로 사과드린다”며 “사안의 심각성을 깊이 인식하고 앞으로 이런 일이 재발하지 않도록 각고의 노력을 기울이겠다”고 밝혔다.