KERIS, AI디지털교과서 개발 참여 교직원 개인정보 유출 사건

KERIS, AI디지털교과서 개발 참여 교직원 950여명 개인정보 유출

KERIS, AI디지털교과서 개발 참여 교직원 950여명 개인정보 유출

 

• 사건 개요
  • 한국교육학술정보원(KERIS)에서 AI디지털교과서 수업설계안 개발 과정에 참여한 교직원 957명의 개인정보가 유출됨
  • 유출된 정보: 이름, 소속학교, 지역(시·도), 휴대전화번호, 이메일 등 총 5개 항목
  • 원인: 암호화된 엑셀파일이 구글 드라이브에서 구글 스프레드시트로 열람될 경우 암호 설정이 해제되는 문제 발생
• 유출 경위
  • KERIS는 교직원 간 상호 피드백 그룹 정보를 제공하기 위해 암호화된 엑셀파일을 구글 드라이브에 업로드
  • 공지사항을 통해 교직원들에게 해당 파일을 다운로드하도록 안내
  • 2024년 12월 13일, 구글 스프레드시트를 통해 열람하거나 다운로드 시 암호가 해제되는 현상이 발생한 것으로 확인
  • 이후 해당 파일이 다른 교직원들에게 열람된 것으로 추정됨
• 대응 및 후속 조치
  • KERIS는 문제를 인지한 즉시 구글 드라이브에서 해당 파일 삭제
  • 피드백 그룹 정보는 별도의 이메일을 통해 전달하도록 변경
  • 피해 교직원들에게 파일 삭제 요청 및 개인정보 악용 사례 신고를 안내
  • 이번 사고에 대해 공식적으로 사과하며 재발 방지 대책 마련을 약속
• 보안 전문가 의견
  • 휴먼 에러로 인해 발생한 사고로 판단
    • 파일 암호화 및 공유 과정에서 설정 오류 가능성
    • 외부 시스템을 통해 내부 개인정보 문서를 공유한 방법 자체가 근본적인 문제
  • "보안 취약점은 예상치 못한 곳에서 발견될 수 있다"며 신속한 대응 체계의 중요성을 강조
• 결론
  • 개인정보 유출 방지를 위해 내부 문서를 외부 시스템에 공유하지 않는 원칙을 준수해야 함
  • 기업 및 기관은 보안 설정 점검 및 모니터링 체계를 강화해야 함
  • 직원 대상의 보안 교육과 함께 예기치 않은 취약점에 대응할 수 있는 프로세스를 수립하는 것이 중요