[국립항공박물관] 관리자 계정 공유로 온라인 항공학습터 회원 1만 1,029명 개인정보 유출·스미싱 1,980건 발송…국감서 사후관리 미흡 지적_2026년 10월

국립항공박물관 온라인 항공학습터에서 2024년 1월 20일 해커가 사전에 확보한 관리자 계정으로 접속해 회원 1만 1,029명의 이름·연락처·생년월일·주소 등을 엑셀로 내려받았고, 박물관 교육 안내번호로 스미싱 문자 1,980건이 발송됐습니다. 2026년 10월 국정감사에서는 직원·수탁업체 20여 명이 관리자 계정 3개를 공유한 관리 부실과 함께, 유출 대상자 피해 확인 등 사후관리가 미흡했다는 지적이 나왔습니다.

□  개요 

   국회 국토교통위원회 염태영 의원(더불어민주당)은 2026년 10월 22일 국정감사 자료를 통해 국립항공박물관 회원 1만 1,029명의 개인정보 유출과 스미싱 문자 발송 이후 사후관리가 미흡했다고 지적했습니다.
    사고는 2024년 1월 20일 일어났습니다. 해커는 사전에 확보한 관리자 계정 아이디·비밀번호로 온라인 항공학습터 관리자 페이지에 접속해 회원 1만 1,029명의 성명, 아이디, 연락처, 성별, 생년월일, 주소, 가입일, 문자·이메일 수신 여부를 엑셀 파일로 내려받았습니다. 이어 박물관 교육 안내번호를 발신번호로 표시한 스미싱 문자 1만 970건 발송을 시도해 1,980건이 실제 전송됐고, 박물관은 스미싱을 받은 이용자의 민원 전화로 사고를 처음 알았습니다.
    개인정보보호위원회는 직원과 유지보수·교육운영 수탁업체 직원 등 20여 명이 관리자 계정 3개를 공유하고, 접속 IP 제한·추가 인증·접속기록 점검이 없었던 점을 들어 '업무상 중대한 과실'로 판단해 2025년 12월 10일 과징금 9,800만 원을 부과했습니다. 박물관은 2026년 2월 과징금을 납부하고 시스템을 개선했지만, 유출 대상자에게 다시 연락해 추가 피해를 확인한 실적은 제시하지 못했습니다.

 

□  사고내용 요약  

    1. 회사명 : 국립항공박물관(온라인 항공학습터)
    2. 사고유형
        - 사전 탈취한 관리자 계정으로 관리자 페이지 접속 → 회원정보 대량 다운로드 → 기관 발신번호 사칭 스미싱 발송
    3. 유출규모
        - 온라인 항공학습터 회원 1만 1,029명 / 스미싱 문자 1만 970건 발송 시도, 1,980건 실제 전송
    4. 유출항목
        - 성명, 아이디, 연락처, 성별, 생년월일, 주소, 가입일, 문자·이메일 수신 여부

    5. 특이사항
        - 사고 발생은 2024년 1월 20일, 이번 보도는 2026년 10월 국정감사에서 사후관리 미흡이 지적된 것
        - 직원과 수탁업체 직원 등 20여 명이 관리자 계정 3개를 공유, 업무별 권한 구분이 없어 교육 담당 수탁업체 직원도 전체 회원정보에 접근 가능
        - 관리자 페이지 접속 IP 제한·추가 인증 없음, 아이디·비밀번호만으로 외부 접속 가능
        - 내부관리계획상 '1시간 내 20건 이상 다운로드 시 사유 확인' 규정이 있었으나 작동하지 않음, 접속기록 점검 기록도 없음
        - 기관 교육 안내번호를 발신번호로 쓴 스미싱으로, 문자 수신자가 실제 기관 안내로 믿기 쉬운 구조
        - 박물관은 자체 탐지가 아닌 이용자 민원 전화로 사고를 처음 인지
        - 유출 통지 문자 336건은 발송에 실패해 최종 개별 통지를 하지 못하고 홈페이지 게시로 대신함
        - 관리자 계정을 처음에 어떻게 탈취했는지는 미확인

□  사고대응 타임라인  

    - 2024년 01월 20일(토)
        . 해커, 사전 확보한 관리자 계정으로 온라인 항공학습터 관리자 페이지 접속, 회원 1만 1,029명 정보 엑셀 다운로드
    - 2024년 01월(일자 미공개)
        . 박물관 교육 안내번호로 스미싱 문자 1만 970건 발송 시도, 1,980건 전송
        . 이용자 민원 전화로 박물관 사고 인지
    - 사고 이후
        . 관리자 계정 공유 중단, 접속 IP 제한, 외부 접속 2단계 인증 도입
        . 유출 통지(문자 336건 발송 실패분은 홈페이지·교육 페이지 게시), 고령 회원 전화 안내, 사고 대응 전용전화 운영
    - 2025년 12월 10일(수)
        . 개인정보보호위원회, '업무상 중대한 과실'로 과징금 9,800만 원 부과 의결, 처분 사실 1년간 홈페이지 공표
    - 2026년 02월
        . 국립항공박물관, 과징금 납부
    - 2026년 10월 22일(목)
        . 염태영 의원, 국정감사에서 추가 피해 확인·피해자 구제 등 사후관리 미흡 지적

□  개인정보 유출 관련 안내 및 지적사항  

※ 2024년 사고 당시 박물관 공지 원문은 확인하지 못해, 국정감사 지적 내용과 박물관 답변을 싣습니다.

[염태영 의원(더불어민주당, 국회 국토교통위원회)]
"직원과 수탁업체가 관리자 계정을 공유하고 접속기록조차 점검하지 않아 1만 명이 넘는 국민의 개인정보가 유출되고 스미싱 문자까지 발송됐다."
"국민의 개인정보를 맡아 관리하는 공공기관으로서 기본적인 보호조치가 부족했다."
"일부 이용자에 대한 전화 확인과 피해 신고가 없었다는 사실만으로 전체 이용자의 피해 여부를 확인했다고 볼 수 없다."

[국립항공박물관 답변 요지]
- 관리자 계정 공유 중단, 접속 IP 제한, 외부 접속 시 2단계 인증 도입
- 고령 회원 전화 안내, 사고 대응 전용전화 계속 운영
- 별도 피해 신고 접수 내역이 없어 보상 내역도 없음

[개인정보보호위원회 처분(2025년 12월 10일)]
- 관리자 계정 공유, 접속 IP 제한·안전한 인증수단 미적용, 접속기록 미점검 등 안전조치 의무 위반
- 과징금 9,800만 원, 처분 사실 1년간 홈페이지 공표

 

□  대응내역  

    - (국립항공박물관) 관리자 계정 공유 중단, 접속 IP 제한, 외부 접속 시 2단계 인증 도입
    - (국립항공박물관) 유출 통지, 발송 실패 336건은 재발송·전화 시도 후 홈페이지·교육 페이지에 사과문 게시
    - (국립항공박물관) 고령 회원 전화 안내, 사고 대응 전용전화 운영
    - (국립항공박물관) 과징금 납부(2026년 2월)
    - (개인정보보호위원회) 과징금 9,800만 원 부과, 처분 사실 공표(2025년 12월)
     ※ 관리자 계정 탈취 경로, 스미싱 문자 발송 일자·내용, 유출 대상자 추가 피해 확인 결과는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 관리자 계정은 개인별로 발급하고 공유 금지, 업무별 최소 권한 부여
        - 관리자 페이지는 허용 IP·VPN에서만 접속하고 다중 인증(MFA) 적용
        - 대량 다운로드 시 사유 확인·승인 절차를 시스템으로 강제하고, 접속기록 정기 점검
        - 기관 대표번호·안내번호가 문자 발송 서비스에서 도용되지 않도록 발신번호 관리와 발송 이력 모니터링 강화

    2. 관리적 조치
        - 수탁업체 계정·권한을 위탁 업무 범위로 제한하고 정기 점검
        - 유출 대상자 전체에 추가 피해 여부를 다시 확인하고 피해 구제 절차 안내
        - 통지 실패 대상자에게 우편 등 다른 수단으로 재통지
        - 회원 피해 예방 : 박물관 번호로 온 문자라도 링크·앱 설치 요구에는 응하지 말고 공식 홈페이지에서 확인

□  관련기사(출처)  

• 국립항공박물관 회원 1만1,029명 개인정보 유출…교육 안내번호로 스미싱 문자까지 - 데일리시큐
• 국립항공박물관 개인정보 1만1029명 유출…스미싱 후속 피해 확인은 미흡 - 아이뉴스24
• 국립항공박물관 개인정보 1만1029명 유출·스미싱 1980건 발송…염태영 의원 “사후관리 미흡” - 월드장애인사랑뉴스
• [국정감사 2026] 개인정보 1.1만명분 유출·스미싱…국립항공박물관, 후속 관리도 ‘구멍’ - 파이낸셜투데이
• 개인정보위, 1만명 회원정보 유출한 국립항공박물관에 과징금 1억원 - 머니투데이(2025년 12월 처분)

감사합니다.