국세청 홈택스 연말정산 간소화 서비스의 보안에 심각한 허점이 드러나 충격을 안기고 있다. 연말정산 시스템 오류로 가족 관계는 물론 의료비, 카드 사용금액 등 연말정산 공제자료에 담긴 개인 정보가 유출되는 사고가 발생한 것이다. 주민등록번호만 알면 다른 사람의 소득과 세액공제 내용 등을 열람할 수 있었다는데, 국세청의 늦장 대응으로 민감한 개인 정보가 타인에게 흘러갔다. 국세청이 공식 발표한 숫자 이외 개인정보 유출 피해 건수는 더 추가될 여지도 있다. 신뢰가 최우선인 국가 세정 업무 진행 과정에서 납득할 수 없는 일이 벌어졌다.

지난 15일 오전 6시 개통한 홈택스 연말정산 간소화 서비스는 공동인증서나 민간인증서로 로그인해 이용할 수 있다. 올해는 이용 가능한 민간인증서가 종전의 카카오톡·통신 3사 PASS·페이코·삼성패스·KB국민은행 5종에 네이버·신한은행 2종이 추가됐다. 여기서 민간인증서 2종을 새로 적용하는 과정에서 인증기관 연결용 프로그램에 결함이 발생한 것으로 밝혀졌다. ‘이용자 성명과 주민등록번호 입력’, ‘인증 요청 및 회신 등 간편인증’, ‘이용자 인적 사항과 인증 시 인적 사항 일치 여부 검증’의 단계로 진행되는 로그인 절차 가운데 일치 여부를 검증하는 단계가 누락됐다. 이 때문에 특정인의 이름과 주민등록번호를 입력한 뒤 다른 사람의 인증서로 인증을 해도 로그인이 완료되는 오류가 나타났다. 다른 사람의 주민번호 등만 알고 있으면 로그인해 연말정산 자료를 죄다 조회할 수 있는 시스템을 국세청이 제공한 셈이다.

무엇보다도 위기 상황을 제때 못 따라간 국세청의 대처 능력을 탓 하지 않을 수 없다. 간소화 서비스 오류는 개통 시점부터 발생했지만, 국세청은 그 사실을 사흘이나 흐른 지난 18일 인지했다니 한심하다. 그날 오후 8시부터 국세청은 민간인증서 로그인을 차단하는 등 오류를 수정했으나 이미 3일 동안 이뤄진 개인정보 노출 피해는 막을 수 없었다. 시스템 오류 상태에서 간소화 서비스가 제공된 사흘간 이용자 인적 사항과 인증 시 인적 사항이 다른 사례가 821건 발견됐다고 국세청은 밝혔다. 이는 다른 사람의 이름과 주민등록번호를 적어넣고 자신의 인증서로 로그인해 자료를 조회한 것이다. 상당수는 가족이나 아는 사람의 자료 조회에 해당한다고 추론할 수 있겠지만, 본의 아니게 개인 정보를 유출당한 피해자가 적지 않다. 연말정산 자료에 담긴 개인 정보를 소홀히 취급한 국세청은 비난받아 마땅하다.

국세청은 “사안의 심각성을 깊이 인식하고 앞으로 이런 일이 재발하지 않도록 각고의 노력을 기울이겠다”고 밝혔다. 그리고 외부 전문가가 참여하는 개인정보보호검증 태스크포스를 구성해 전산시스템 전반에 대한 개인 정보의 보호·관리 실태를 점검하기로 했다. 소 잃고 외양간 고치는 일 아닌지 묻고 싶다. 민감한 개인 정보가 국세청에서 털리는 어이없는 사태가 다시는 일어나지 않도록 만전을 기해야 할 것이다.