서강대 개인정보 유출 18만 건, 과거 대학·기관 사고와 비교하면 어느 수준인가

서강대학교에서 약 18만 건의 개인정보가 유출된 사실이 확인됐다. 외부 공격 여부, 유출 경위, 포함된 정보의 범위는 아직 조사 중이며 단정할 수 없다. 다만 규모와 대응 방식을 과거 유사 사고와 비교하면 이번 사고의 위치를 가늠하는 데 도움이 된다.

개인정보 유출 사고를 평가할 때 쓰이는 기준은 크게 네 가지다. ①유출 규모(건수), ②포함된 정보의 민감도, ③유출 경위(내부 관리 실패인지 외부 공격인지), ④인지부터 공개까지 걸린 시간과 후속조치다. 이 네 기준을 자산 밸류에이션의 감정평가 항목처럼 놓고 비교하면, 이번 사고가 왜 주목받는지가 명확해진다.

규모 면에서 18만 건은 대학 기관 단위 사고로는 중간 이상 규모다. 국내에서 발생한 대형 카드사·통신사 유출(수백만~수천만 건)과 비교하면 절대 건수는 작지만, 단일 대학 재학생·교직원·동문 데이터베이스 규모를 감안하면 사실상 해당 기관이 보유한 개인정보의 상당 비중이 노출됐을 가능성이 있다. 이는 '전체 자산 대비 손상 비율'이라는 관점에서 카드사 사고보다 상대적 타격이 클 수 있다는 뜻이다.

포함된 정보의 민감도 측면에서는 이번 사고가 특이점을 갖는다. YTN 보도에 따르면 박근혜 전 대통령도 유출 대상에 포함된 것으로 알려졌다. 이는 유출 데이터가 단순 재학생 명단이 아니라 동문 전체를 포괄하는 장기 축적 데이터베이스였을 가능성을 시사한다. 데이터의 '보유 기간'이 길수록 유출 시 정보의 활용 가치(악용 가능성)도 함께 누적된다는 점에서, 단순 최근 데이터 유출보다 리스크 프리미엄이 높게 매겨질 수 있다.

유출 경위는 현재 '신원미상 외부 공격', '해외 IP 공격 추정'으로 보도되고 있으나 이는 조사 초기 단계의 잠정 설명이다. 내부 관리 부실(비밀번호 관리, 접근 권한 통제 실패)인지, 정교한 외부 침투인지에 따라 재발 방지 비용과 책임 소재가 크게 갈린다. 과거 사례를 보면 '외부 공격 추정'으로 발표된 사고 중 상당수가 최종 조사에서 내부 시스템의 기본적인 보안 설정 미비가 함께 확인된 경우가 많았다. 이번 사고도 최종 조사 결과가 나오기 전까지는 원인을 단정하기 이르다.

대응 속도 측면에서는 사고 인지 후 비교적 신속하게 언론 공개와 조사 착수가 이뤄진 것으로 보인다. 다만 '신속한 공개'와 '충분한 후속조치'는 별개 항목이다. 실제 피해자 보호 조치—본인 확인 절차 강화, 무료 신용정보 모니터링 제공, 유출 확인 창구 개설—가 어느 시점에 어떤 방식으로 시행되는지가 실질적 비교 기준이 된다. 현재까지 공개된 보도에서는 이 부분에 대한 구체적 발표가 확인되지 않는다.

결론적으로 이번 사고를 '자산가치 훼손' 관점에서 평가하면, 절대 건수보다 데이터의 장기 축적성과 저명인사 포함 여부가 리스크를 키우는 요인이다. 반면 원인 규명과 후속조치의 구체성은 아직 평가 대상이 확보되지 않은 상태다. 개인정보 유출 여부를 확인하려는 이용자라면 학교 측 공식 공지 채널을 통해 본인 포함 여부를 직접 조회하고, 확인 즉시 관련 계정 비밀번호 변경과 명의도용 방지 서비스 가입을 우선 검토하는 것이 실질적 대응이다.