[보안 이슈] 여의도순복음교회 85만 명 유출, 교회가 직접 인정했습니다 — 주민번호는 2,629건, 지금 확인할 3가지

교회가 직접 밝힌 85만 명, 어디서 시작됐나

이번 건은 한국인터넷진흥원(KISA, 한국인터넷진흥원)이 교회 정보시스템의 침해 정황을 통보하면서 드러났습니다. 교회는 외부 보안기관과 유출 의심 자료·접속 기록을 분석해, 7건의 의심 자료 중 6건(교구 전입·전출, 직분 임명, 침례 이력 등)에는 개인정보가 없었으나 ‘성도 정보 변경 이력’ 1건에 85만 명의 이름·생년월일·변경 내용이 담겨 있었다고 밝혔습니다.

보안업체가 해외 공격자 서버에서 ERP(전사적자원관리) 침입 흔적과 함께 발견한 자료는 교인 정보 약 96만 건, 헌금 기록 약 33만 건, 내부 문서 47GB에 달합니다. 공격자는 ‘웹쉘’ 악성 프로그램으로 서버에 침입해 DB 관리자 권한까지 가져간 것으로 파악됐습니다.

실제로 뭐가 털렸나 — 숫자부터 정확히 보기

핵심은 “무엇이, 몇 건” 유출됐는지입니다. 85만 명 전부의 주민번호가 나간 게 아니라, 민감 식별정보는 ‘변경 이력’ 테이블에 한정돼 건수가 적습니다.

여기에 사랑의교회에서도 직원 286명과 교인 8만 9천 명의 이름·주소·전화번호가 유출된 정황이 확인됐습니다. 즉 대다수 성도는 ‘이름+생년월일’ 수준이지만, 주민번호·전화번호 변경 이력에 포함된 소수는 훨씬 높은 위험에 놓입니다. 내 정보가 어느 범주인지 모른다면 더 위험한 쪽을 기준으로 대비하는 편이 안전합니다. 이는 신한은행 2만5천 명 정보 유출 때와 같은 원칙입니다.

‘변경 이력’이라 안심? 오히려 조심해야 하는 이유

변경 이력은 과거 값과 새 값이 함께 쌓이는 로그여서, 한 사람의 정보 변동 궤적이 그대로 드러납니다. 또 공격자가 DB 관리자 권한을 쥐었다는 건 공개된 7건 외 미확인 데이터에도 접근했을 가능성을 배제할 수 없다는 뜻입니다.

교회가 “유출 사실을 해당 성도에게 통보 중”이라 밝힌 만큼, 문자나 메일로 통보를 받았다면 내 정보가 포함됐다는 신호입니다. 통보가 없더라도 교인이었다면 예방 조치를 해 두는 게 합리적입니다.

지금 바로 해야 할 3가지

자주 궁금해하는 점

Q. 통보 문자를 못 받았으면 안전한가요?
아닙니다. 85만 명 통보에 시간이 걸리고 누락도 생길 수 있어, 교인이라면 통보 여부와 무관하게 위 3가지를 해 두는 편이 안전합니다.

Q. 주민번호가 바뀐 적 없으면 괜찮나요?
주민번호 변경 이력(2,629건)엔 없을 가능성이 높지만, 이름·생년월일은 포함됐을 수 있습니다. ②·③은 그대로 권합니다.

※ 참고: 한국정보통신진흥협회, 「엠세이퍼 명의도용방지서비스 가입방법 안내」