단순조작에 평가원 보안 뚫렸다…수능 성적표 312명 유출

2일 한 수험생 커뮤니티에 대학수학능력시험 성적표를 미리 출력하는 방법(왼쪽)이 공개되면서 수능 성적 공식 발표를 이틀 앞두고 일부 수험생이 수능 성적을 확인하는 일이 벌어졌다. [연합뉴스]

대학수학능력시험(수능) 성적 발표를 이틀 앞두고 일부 수험생이 성적을 사전에 확인한 것으로 확인됐다. 웹 브라우저에서 간단한 조작만으로 점수를 확인할 수 있을 만큼 성적 보안이 허술했다.

2일 수능 출제 기관인 한국교육과정평가원(평가원)은 일부 수험생이 수능 성적을 사전 조회했다고 밝혔다. 평가원에 따르면 일요일 밤인 1일 오후 9시 56분부터 2일 오전 1시 32분까지, 3시간 36분간 수험생 312명이 본인 성적을 조회한 것으로 확인됐다. 평가원은 상황 파악 후 2일 오전 1시 33분 사이트를 차단했다.

성적 조회가 가능했던 것은 기존에 성적을 발급받은 적이 있는 재수생 등 ‘N수생’이었다. 이번이 첫 수능인 고3은 사전 확인이 불가능했다. 수험생들은 평가원이 제공하는 ‘수능 성적증명서 발급 서비스’에 본인 인증 후 접속한 상태에서 웹 브라우저의 소스코드를 ‘2019학년도’에서 ‘2020학년도’로 수정하는 방식으로 성적을 확인했다.

평가원은 “현재 시스템 점검을 위해 성적 자료를 수능 정보 시스템에 탑재해 검증 중이었다. 성적 제공일 이전에는 조회가 이뤄지지 않아야 하는데 그렇지 않았다”고 경위를 설명했다.

2020학년도 수능일인 지난달 14일 오전 서울 영등포구 여의도 여의도여고 시험장에서 수험생들이 시험 준비를 하고 있다. [뉴스1]

일부 수험생이 성적을 미리 확인했다는 사실이 알려지면서 인터넷에는 “성적 발표를 앞당겨달라”는 요구가 잇따랐다. 하지만 평가원은 당초 계획대로 4일 오전 9시부터 성적을 공개할 방침이다. 평가원은 “고등학교 학사 일정을 고려해 당초 일정대로 성적을 제공한다”고 밝혔다.

이번 성적 유출은 1일 밤 한 수험생 인터넷 커뮤니티에 “수능 성적표를 미리 받았다”는 글이 올라오면서 알려졌다. 확인하는 방법까지 상세하게 안내하는 글이 올라오면서 1~2시간 만에 커뮤니티에는 “수능 성적을 인증한다”는 글이 잇따라 올라왔다.

단순한 소스코드 조작만으로 정보가 유출된 것으로 드러남에 따라 평가원의 취약한 보안 문제가 다시 도마 위에 오를 것으로 보인다. 평가원은 지난해에도 감사원으로부터 보안 관리가 허술하다는 지적을 받은 바 있다.

당시 감사원은 평가원이 주관하는 중등 교원 임용시험이 서버 접근 기록을 관리하는 접근 통제 기능조차 마련하지 않았다고 지적했다. 평가원은 “수능 정보시스템의 취약점을 점검하고 면밀한 분석을 통해 대책을 수립하겠다”고 밝혔다. 교육부도 평가원에 책임을 묻겠다는 방침이다.

인터넷 커뮤니티 등에서는 사전에 성적을 유출한 수험생도 처벌해야 한다는 주장이 나온다. 하지만 평가원은 이들 수험생을 부정행위로 간주하거나 성적을 취소하지는 않을 계획이다. 성적을 미리 조회한 312명도 4일에 예정대로 성적을 제공한다.

수능 이후 일정. 그래픽=김주원 기자 zoom@joongang.co.kr

다만 업무방해 혐의 등으로 별도의 처벌을 할 수 있을지는 검토한다는 계획이다. 교육부 관계자는 “평가원에서 법률 자문을 받아보기로 했다. 다만 귀책사유가 평가원에도 있기 때문에 수험생 처벌 여부를 지금 말하기는 어렵다”고 말했다.

전문가들은 성적을 먼저 확인한 것이 입시에 미칠 영향은 거의 없다고 보고 있다. 이만기 유웨이중앙교육 평가연구소장은 “지난 주말에 논술 면접 등 대학별 고사가 끝난 뒤 밤에 최초로 유출됐기 때문에 영향은 없다”며 “정시 원서접수까지 3주가 남았는데 이틀 먼저 점수를 알았다고 지원 전략을 세우는 데 유리하다고 보기도 어렵다”고 말했다.

남윤서·전민희 기자 nam.yoonseo1@joongang.co.kr