정부24 어린이포털 해킹 — 주민등록번호·계정 유출 추정

Tech News 2026년 10월 10일

정부24 안의 어린이포털이 2026년 8월 17일 외부 공격을 받아 서버 메모리 덤프 파일 11개가 유출됐어요. 행정안전부는 이튿날 개인정보보호위원회에 주민등록번호 36건, 전화번호 3건, 정부24 아이디·비밀번호 55건이 유출된 것으로 추정된다고 신고했습니다. 행안부는 8월 20일 정부24에 사과·안내 팝업을 30일간 띄운 뒤 내렸고, 사고 내용이 자세히 알려진 것은 9월 29일 국회 자료가 처음이에요. 지금 정부24 공지사항에는 관련 기록이 남아 있지 않아요.

행정안전부 로고

사건 경과

국회 행정안전위원회 정춘생 의원이 행안부에서 받아 공개한 자료에 따르면 공격자는 8월 17일 오후 5시 29분께 어린이포털의 취약한 페이지를 통해 침입했어요. 행안부는 이 과정에서 정부24 서버의 메모리 덤프 파일 11개 등이 외부로 유출된 사실을 확인했고, 18일 개인정보보호위원회에 유출 신고서를 제출했어요.

공격 시각: 2026년 8월 17일 오후 5시 29분께
경로: 정부24 어린이포털의 취약한 페이지
유출물: 서버 메모리 덤프 파일 11개 등
신고: 8월 18일 행정안전부 → 개인정보보호위원회
안내: 8월 20일 정부24 팝업(30일 게시 뒤 삭제)
국회 공개: 9월 29일

행안부 보도자료나 개인정보위 공개 자료는 나오지 않았어요. 수치는 모두 행안부 신고서를 국회가 공개하고 언론이 인용한 것이고, 최종 피해 규모는 조사 중이에요.

유출 추정 항목

정부24 어린이포털 해킹 유출 추정 건수 — 출처: 행정안전부 유출 신고서(국회 공개) 기반 자가 렌더

구분	신고서 내용	의미
주민등록번호	36건	명의도용 위험
전화번호	3건	스미싱 표적
아이디·비밀번호	55건	계정 탈취 위험
피해 인원	미확정	조사 중

주민등록번호는 변경하기 어렵고, 아이디·비밀번호는 정부24 계정에 직접 로그인할 수 있는 정보예요. 같은 비밀번호를 다른 사이트에서도 쓰고 있다면 위험이 다른 서비스로도 확산돼요.

비밀번호가 평문이었는지 암호화된 상태였는지는 공개되지 않았어요. 메모리에 기록된 로그인 요청에서 추출됐다면 사용자가 입력한 그대로일 수 있지만, 이 역시 확인된 사실은 아니에요.

메모리 덤프가 담는 것

서버 메모리에서 데이터 조각이 빠져나가는 개념 컷 — 출처: 개념 컷 · agy 자가 생성

메모리 덤프(memory dump)는 실행 중인 프로그램이 사용하던 메모리 내용을 그대로 파일로 복사해 저장한 것이에요. 데이터베이스와 달리 정리된 표가 아니라, 그 순간 서버가 처리하던 요청·응답·세션 정보 조각이 혼재해 있어요.

덤프 파일 11개 안에서 개인정보로 보이는 조각을 하나씩 확인해 집계해야 하고, 행안부 신고 수치도 그래서 「추정」으로 분류됐어요. 데일리시큐는 공격자가 서버에서 명령을 실행했는지, 다른 내부 시스템까지 침입했는지가 아직 밝혀지지 않았다고 전했고, 웹셸(web shell, 서버에 설치하는 원격 조작용 스크립트) 설치나 계정 생성 같은 추가 침입 흔적은 지금까지 보고되지 않았습니다.

덤프가 유출된 순간 서버가 처리하던 요청만 담겨 있다면 피해는 그 시점 접속자에 한정돼요. 반대로 공격자가 서버 안에서 명령을 실행할 수 있었다면 덤프는 결과물 가운데 하나일 뿐이라, 조사에서는 당시 처리 중이던 요청만 유출됐는지, 공격자가 서버에서 명령까지 실행했는지를 확인해야 합니다.

팝업 30일과 남지 않은 기록

행안부는 8월 20일 정부24에 개인정보 유출 정황에 대한 사과·안내문을 팝업으로 띄웠습니다. 팝업은 30일 동안 게시된 뒤 삭제됐고, 정부24 공지사항에는 이 사고의 공식 기록이 남아 있지 않아요. 해킹 경로였던 어린이포털에는 8월 17일부터 「시스템 점검(서비스 중단) 안내」만 올라와 있었어요.

10월 6일 행정안전부 국정감사에서 정춘생 의원이 이 점을 지적하자, 행안부는 유출된 정보의 주인을 특정할 수 없어 개별 통지 대신 일반 공지를 했다고 설명했고, 윤호중 장관은 개별 통지에 대해 「규정에 따라 적극 조치하겠다」고 답했어요. 국가정보원의 최종 침해 조사 보고서는 보안상 이유로 국회에 제출되지 않았습니다.

2026년 9월 11일 시행된 개정 개인정보보호법은 유출이 확정되기 전이라도 가능성을 알게 되면 바로 정보주체에게 알리도록 통지 의무를 확대했습니다. 개정법은 통지할 때 손해배상 청구나 분쟁조정 신청 같은 구제 방법도 함께 알리게 했고, 분실·도난·유출뿐 아니라 위조·변조·훼손까지 통지 대상에 포함했어요. 이번 사고는 개정법 시행 전에 발생했고, 행안부는 개별 통지 없이 팝업 안내로 대신했어요.

행안부는 2026년 9월 21일 개인정보위 공표명령에 따라 2024·2025년 사고의 법 위반 사실을 공지했어요. 배포 전 시험을 거치지 않은 2024년 코드 변경과, 2017년부터 2025년까지 수정하지 않은 주민등록증 발급상황 조회의 본인 확인 취약점이 그 내용이에요. 이 공지가 올라간 시점에 어린이포털 사고는 이미 한 달이 지나 있었지만 함께 언급되지 않았습니다.

정 의원은 정보보안 강화와 조속한 조사·구제가 전제돼야 한다고 지적했어요.

정부24의 세 번째 개인정보 사고

정부24·행정안전부 개인정보 사고 경과 타임라인 — 출처: 개인정보보호위원회 처분 · 행정안전부 신고서 기반 자가 렌더

이번이 정부24 첫 외부 해킹이지만, 개인정보 사고는 처음이 아니에요.

[2024년 4월 서류 오발급] NEIS 연계 민원서류 646명, 납세증명서 587명, 합계 1,233명 정보가 다른 사람에게 발급

[2025년 5월 조회 취약점] 주민등록증 발급상황 조회의 인증 취약점으로 4건이 다른 사람에게 조회

[2026년 5월 1365 자원봉사포털] 행안부 소관 포털 유출, 피해자가 처음 796명에서 8,785명으로 증가함

개인정보보호위원회 로고

개인정보보호위원회는 2026년 5월 27일 앞의 두 사고에 대해 행안부에 과징금 2억 7,300만 원과 과태료 300만 원을 부과하고 시정권고·공표명령을 의결했어요. 앞의 두 건은 개발 오류와 인증 취약점이었고, 이번은 외부 공격이라 원인이 달라요.

이용자가 할 일

이용자 조치 정리 카드 — 출처: 행정안전부 신고서(국회 공개) 기반 자가 렌더

행안부가 유출 조회 창구를 운영하지 않았고 개별 통지도 하지 않아, 내 정보가 36건·55건에 포함되는지 확인할 방법은 없습니다. 그래서 정부24에 아이디·비밀번호로 로그인하던 이용자라면 대상인지와 무관하게 비밀번호를 바꿔야 해요.

주민등록번호 유출이 걱정되면 금융감독원 파인의 개인정보노출자 사고예방시스템에 등록할 수 있어요. 등록하면 참여 금융회사가 본인 확인을 강화해 명의도용 대출·계좌 개설을 차단하는 방식입니다. 유출로 실제 피해가 발생했거나 우려가 크면 주민등록번호 변경을 신청하는 제도도 있어요.

🔗 링크 첨부 - https://fine.fss.or.kr

한국인터넷진흥원 로고