[세종=뉴스핌] 최영수 선임기자 = 한국가스안전공사의 IT담당자가 공익신고·감사 등 비공개 문서를 무단으로 열람했지만 3개월간 까맣게 몰랐던 것으로 드러났다.

특히 보안관제가 아닌 근태 문제로 우연히 적발해 총체적인 무능이라는 지적이 나온다. 공사는 '단순 열람'이라며 사건을 축소·은폐한 것으로 드러나 문제의 심각성을 더하고 있다.

8일 국회 산업통상자원중소벤처기업위원회 소속 최수진 의원(국민의힘)에 따르면, 가스안전공사의 디지털부서 소속 A씨는 2025년 8월과 9월 두 차례에 걸쳐 휴가 및 재택근무 기간 중 야간 시간에 사옥 내 PC를 이용해 전자결재 관리자 페이지에 무단 접속한 것으로 드러났다.

최 의원실에 따르면, 공사의 전자결재 관리자 페이지는 본인 인증 절차가 사실상 무용지물이었다. 해당 페이지에서는 원래 사용자의 비밀번호를 몰라도 직원 이름만 검색하면 관리자 권한으로 타인 계정에 즉시 접속되는 치명적인 결함을 가지고 있었다. IT 담당자였던 A씨는 이러한 시스템의 약점을 악용해 감사 및 윤리 부서 간부들의 계정을 아무런 제약 없이 도용하며 비공개 문서에 접근했다(그림 참고).

더욱 심각한 것은 단순 접속을 넘어 사용자 데이터베이스(DB)에 직접 침입해 결재 비밀번호까지 강제로 바꿔치기했다는 점이다. A씨는 보안 DB 계정을 이용해 데이터베이스에 직접 접속한 뒤, 비공개 문서를 열람하기 위해 타인의 결재 비밀번호를 본인이 아는 임의의 숫자로 수정·리셋한 후 문서를 무단 조회했다.

이처럼 명백한 데이터 무단 조작 및 데이터베이스 침해 행위가 발생했음에도, 공사는 국회 서면 답변을 통해 "단순 열람 사실만 확인됐다"며 사건을 축소하고 은폐하기에 급급했다.

A씨가 무단 열람한 문서 30여건(총 37회 열람)은 대부분 K-휘슬 공익신고, 감사제보, 고충심의위원회 결과, 인사위원회 심의결과, 부당해고 구제신청 등 신고자와 피신고자의 신원이 담긴 극비 문서였다.

특히 '감사제보 관련 자료 요청' 문서는 8월 1차 접속 당시 타인 계정으로 열람된 데 이어, 9월 2차 접속 때 또 다른 간부 계정으로 두 차례나 추가 열람됐다. 한 달 간격으로 계정을 바꿔가며 동일한 제보 문서를 반복 조회한 것은 우발적 호기심이 아닌 특정 제보를 겨냥한 표적 조회이자 본인 관련 비위 사안을 확인·은폐하려 한 의혹이 짙다.

이러한 심각한 보안 침해에도 공사의 내부 관제 시스템은 3개월 동안 전혀 작동하지 않았다. 주말 밤과 평일 새벽 시간대, 특정 IP에서 여러 간부 계정이 연속 로그인하는 명백한 이상 행위가 발생했음에도 보안 탐지 시스템은 아무런 경보를 울리지 않았다.

공사는 A씨가 장기 휴가 후 단 하루 출근하고 다시 병가를 내자 실시한 근태 관련 점검에서야 우연히 사건을 인지했으며, 국회 제출 답변에서도 "근태상 출근이 없고 목격자가 없어 미인지했다"고 밝혀 내부 시스템 감시 체계가 사실상 전무했음을 스스로 자인했다.

사건 인지 이후 공사의 후속 조치 역시 늑장 보고와 미온적 처분으로 일관됐다. 공사는 11월 12일 무단 접속을 인지하고도 법률자문 등을 이유로 기관장 보고까지 19일, 수사기관 형사 고소까지 37일을 지체했다.

아울러 상급기관 및 국정원 보고 여부, 개인정보보호위원회 신고 및 피해자 통지 여부에 대해서는 답변을 회피했고, A씨에 대해 중징계나 직위해제가 아닌 단순 '무보직 발령'만 내린 채 5급 직급을 그대로 유지시켜주고 있다.

현재 해당 사건은 경찰 수사를 거쳐 정보통신망법 위반 등의 혐의로 '기소 의견' 송치되어 검찰 수사가 진행 중이다.

최수진 의원은 "이름만 치면 타인 계정으로 들어가는 누더기 결재시스템을 방치하고, 공익신고자와 민원인의 비밀 문서가 털렸는데도 3개월간 까맣게 몰랐다는 것은 공공기관으로서 자격 미달"이라고 지적했다.

이어 "공사가 결재 비밀번호 무단 변경이라는 DB 조작 정황을 알고도 '단순 열람'으로 사건을 축소·은폐하려 한 정황이 명백한 만큼, 검찰의 엄정한 수사는 물론 감사원 감사 청구 등을 통해 공사의 보안 관리 부실과 조직적 묵인 의혹을 명명백백히 밝혀내야 한다"고 강력히 촉구했다.

dream@newspim.com