‘보안 소홀’ 지적에도 뒷짐진 평가원… 키보드 몇번 누르자 뚫렸다

[수능 점수 사전 유출]3시간만에 312명 미리 성적 확인

“이 성적대로(으로) ○○대 탈출 가능한가요?”

1일 오후 10시 49분 포털 사이트 네이버의 한 수험생 카페에는 삼수생으로 추정되는 ‘현○○’이라는 누리꾼이 성적표 사진 한 장과 함께 질문을 올렸다. 그는 대학수학능력시험 점수에 따른 대학 지원 여부를 물었지만 카페 이용자들의 관심은 국어 3등급, 수학 4등급이 찍힌 ‘평범한’ 수능 성적표에 쏠렸다. 4일 오전 9시에 배부하기로 한 2020학년도 수능 성적표였기 때문이다.

해당 사이트에서는 “성적표 조작”이라는 갑론을박이 벌어졌다. 최초 게시자인 현○○은 “30분 뒤 글을 폭파할(지울) 것”이라며 수능 성적증명서 유출 방법을 컴퓨터 캡처 화면과 함께 올렸다. 이후 한국교육과정평가원이 유출 상황을 인지하고 2일 오전 1시 33분 수능 성적 확인 사이트를 아예 닫아 버릴 때까지, 총 312명이 자신의 2020학년도 수능 성적을 미리 받아 보는 초유의 사태가 발생했다.

○ ‘소스 수정’에 뚫린 수능 성적 발급시스템

올해 54만8734명이 지원한 국내 최대 시험인 수능 성적 유출 과정은 누리꾼 한 명의 유포에서 시작됐다. 해킹이 의심됐지만 가장 초보적인 홈페이지 취약점 공격으로 뚫린 것으로 확인됐다.

과거에 수능을 본 적이 있는 사람이 수능 점수 확인 사이트에 공인인증서로 로그인하고 들어가 컴퓨터 자판의 ‘F12’ 키를 누르면 누구나 개발자 모드로 진입할 수 있다. 현○○은 “‘2019’로 된 부분을 찾아 ‘2020’으로 바꾸고, 2020으로 바꾼 탭을 클릭해서 성적표 발급을 신청하라”고 적었다. 원래는 2019학년도 성적표로 넘어가야 하는 것을 2020학년도 성적표가 나오도록 ‘꼼수’를 쓴 셈이다. 예전 성적을 열람한 후 연도만 바꾸는 방식이라 재수생 이상만 미리 성적 확인이 가능했다.

김승주 고려대 정보보호대학원 교수는 “처음에 웹사이트를 개발할 때 간단한 숫자 변경만으로 이런 문제가 발생하지 않도록 꼼꼼히 챙겼어야 했는데 이를 체크하지 않은 것”이라며 “다른 사이트도 아니고 수능 사이트의 시스템 수준으로 보기엔 크게 미흡하다”고 말했다.

평가원 측은 이날 “2020학년도 수능 성적 자료를 시스템에 탑재해 검증하다가 문제가 생겼다”고 설명했다. 올해 수능 점수 공개를 위해 사전 테스트를 하던 시기에 ‘공교롭게도’ 수험생들이 보안 취약점을 공격했다는 얘기다. 본보 취재 결과 이런 허술한 시스템은 지난해까지 계속 이어져 온 것으로 확인돼 올해와 같은 시도가 있었다면 성적이 사전 유출될 수도 있었다.

○ 전문가들 “‘대형 사고’ 날 뻔했다”

교육 전문가들은 수시모집이 1일 마무리되기 전에 수능 성적이 사전 유출됐다면 대형 혼란이 일어날 수 있었다고 지적했다. 임성호 하늘교육종로학원 대표는 “(점수 유출이) 하루만 일찍 터졌더라도 수시 정시 모두 흔들릴 뻔했다”고 말했다. 수능 점수를 미리 알면 수시 대신 정시로 갈지 등 다양한 입시전략 설정이 가능하다는 얘기다. 임 대표는 “수험생 한 명이 수시에서 6곳을 지원하는데, 300명이 자신의 점수를 알고 움직였다면 입시 전체가 흔들렸을 것”이라고 말했다. 교육부는 전국 수험생들에게 예정대로 4일 오전 9시 수능 점수를 통지하기로 했다.

초유의 유출 사태로 수능의 신뢰도 저하는 불가피할 것으로 보인다. 서울의 한 대학 입학처장은 “누구나 수능 점수를 미리 알 수 있었다는 사실이 알려진 만큼 평가원의 보안관리 능력에 의구심이 들 수밖에 없다”고 말했다.

실제로 지난해 2월 청와대 국민청원에는 “평가원의 졸업생 대상 수능 성적 출력 사이트를 통해 성적 위조를 할 수 있다”는 청원이 올라왔다. 여기에 감사원도 지난해 8월 “평가원의 온라인 시스템 보안 관리가 소홀했다”고 지적한 사실이 알려지며 평가원이 지금까지 온라인 보안을 방치하다 사전 유출 상황을 자초한 것 아니냐는 지적이 나온다.

박재명 jmpark@donga.com·최예나 기자