[광주 동구청] 주민참여 플랫폼 '우리동네do반장' 관리자 페이지 인증 미적용으로 주민 2,101명 개인정보 유출_2026년 11월
광주 동구청이 운영하는 주민참여 플랫폼 ‘우리동네do반장’의 관리자 페이지에 접속 인증이 적용돼 있지 않았다. 2026년 10월 17일 외부인이 이 페이지에 접속해 점수·상품권 관리 자료 2,101건을 내려받았고, 이 자료에 담긴 성명·휴대전화번호·닉네임·행정동명·포인트 적립액이 유출됐다. 구청은 19일 뒤 사이버침해대응센터의 통보를 받고서야 사실을 알았다.
□ 개요
광주 동구청은 2026년 11월 12일 ‘우리동네do반장 개인정보 유출 안내 및 사과의 말씀’을 게시했다. 관리자 페이지의 보안 취약점으로 외부에서 점수·상품권 관리 자료 2,101건을 내려받은 사실이 확인됐다는 내용이다.
우리동네do반장은 동구가 주민의 마을공동체 활동 참여를 독려하려고 운영하는 플랫폼이다. 투표나 봉사활동에 참여하면 포인트를 주고, 적립한 포인트는 지류 상품권으로 바꿀 수 있다. 관리자 페이지에는 접속 인증이 적용되지 않았고, API 권한 검증도 없었다. 이 취약점으로 10월 17일 외부 IP에서 관리자 화면에 접속해 엑셀 다운로드 파일 6건을 내려받았다. 유출 항목은 성명, 휴대전화번호, 닉네임, 행정동명, 포인트 적립액이며, 주민등록번호와 금융계좌번호는 시스템에서 관리하지 않아 포함되지 않았다.
동구는 사고 발생 19일 만인 11월 5일 사이버침해대응센터의 통보로 유출을 확인했다. 같은 날 11시 55분 관리자 페이지 외부 접근을 차단하고, 서버 API에 권한 검증과 본인 인증을 적용했다. 다음 날인 11월 6일에는 해당 주민들에게 문자로 피해 사실을 알렸다. 접근 로그와 DB를 전수 조사한 결과 포인트 지급·회수 내역과 회원정보의 위·변조는 없었다. 동구는 ‘주민참여점수모아제’ 이용자 정보가 플랫폼과 연계되는 과정에서 유출됐을 가능성도 살펴보고 있다. 관리자 기능이 인증 없이 인터넷에 노출된 기본적인 설계 결함으로, 지자체가 외부 개발사에 맡겨 구축한 소규모 주민 서비스의 보안 검증이 미흡했던 것으로 보인다(추정). 유출된 성명·연락처·행정동명 조합은 구청이나 포인트 지급을 사칭한 스미싱에 악용될 우려가 있다.
□ 사고내용 요약
1. 기관명 : 광주 동구청(우리동네do반장)
2. 사고유형
- 취약점 악용 : 관리자 페이지 접속 인증 미적용·API 권한 검증 부재로 외부에서 관리 자료 다운로드
3. 유출규모
- 2,101건(점수·상품권 관리 자료, 엑셀 파일 6건)
4. 유출항목
- 성명, 휴대전화번호, 닉네임, 행정동명, 포인트 적립액
※ 주민등록번호·금융계좌번호는 시스템에서 관리하지 않아 미포함
5. 특이사항
- 관리자 페이지가 인증 없이 외부에 노출된 기본 설계 결함
- 자체 탐지가 아닌 사이버침해대응센터 통보로 19일 만에 인지
- 포인트·회원정보 위·변조는 없음(로그·DB 전수 조사)
- 공지기간 2026년 11월 12일~26일
- 주민참여점수모아제 연계 과정의 유출 가능성도 조사 중
□ 사고대응 타임라인
- 2026년 10월 17일(토)
. 외부 IP가 관리자 페이지에 접속해 엑셀 파일 6건(2,101건) 다운로드
- 2026년 11월 05일(목)
. 사이버침해대응센터 통보로 유출 확인
. 11:55 관리자 페이지 외부 접근 차단, API 권한 검증·본인 인증 적용
- 2026년 11월 06일(금)
. 대상 주민에게 문자로 유출 사실 통지
- 2026년 11월 12일(목)
. 유출 안내·사과문 게시(11월 26일까지)
- 진행 중
. 정확한 원인 조사, 추가 보안 대책 마련
□ 개인정보 유출 관련 홈페이지 안내
우리동네do반장 개인정보 유출 안내 및 사과의 말씀
공지기간 : 2026. 11. 12. ~ 2026. 11. 26. (7일 이상 공지) | 공지처 : 광주광역시 동구청
안녕하십니까, 동구청입니다.
우리동네do반장 관리자 페이지에 접속 인증이 적용되지 않은 보안 취약점이 있어, 외부에서 관리자 페이지에 접속해 점수·상품권 관리 자료(2,101건)를 내려받은 사실(2026. 10. 17.)이 2026. 11. 5. 확인되었습니다. 이에 따라 회원님의 개인정보 유출 사실을 알려드리며, 큰 걱정과 불편을 끼쳐 드린 점 진심으로 머리 숙여 사과드립니다.
1. 유출된 개인정보 항목
성명, 휴대전화번호, 닉네임, 행정동명, 포인트 적립액
※ 주민등록번호 및 금융계좌번호 등은 시스템에서 관리하고 있지 않아 일체 포함되지 않았습니다.
2. 유출 시점과 경위
관리자 페이지의 접속 인증 미적용 및 API 권한 검증 부재 취약점으로 인해, 외부 IP에서 관리자 화면 및 엑셀 다운로드 파일 6건을 내려받은 사실(2026. 10. 17.)이 사이버침해대응센터 통보(2026. 11. 5.)를 통해 확인되었습니다.
3. 동구청의 대응 조치 사항
· 외부 접근 즉각 차단: 2026. 11. 5. 11:55 관리자 페이지 외부 접근을 원천 차단하고 서버 API에 엄격한 권한 검증 및 본인 인증 가드를 적용하였습니다.
· 데이터 무결성 검증 완료: 접근 로그 및 DB 전수 조사 결과, 포인트 지급/회수 내역 및 회원정보의 무단 차감·수정 등 위·변조는 일체 발생하지 않았습니다.
· 보안 및 시스템 강화: 접속 기록을 안전하게 보존 중이며, 유관 보안기관 및 개발사와 함께 침해 방지 조치를 완료하였습니다.
4. 피해 최소화를 위한 정보주체의 조치 방법
· 스미싱 및 피싱 주의: 구청이나 do반장을 사칭하여 출처가 불분명한 문자(SMS), 전화의 인터넷 링크(URL)는 절대 누르지 마시고, 금융정보나 인증번호를 알려주지 마십시오.
· 포인트 내역 확인: do반장 앱/웹에 로그인하여 본인의 마일리지 및 상품권 신청 내역을 확인해 주시기 바랍니다.
· 의심 시 즉시 신고: 스팸, 보이스피싱, 스미싱 의심 시 한국인터넷진흥원(KISA) 국번없이 118로 즉시 신고하실 수 있습니다.
5. 피해 구제절차 및 법적 권리 행사 방법
이번 개인정보 유출로 인하여 피해나 손해를 입으신 경우, 다음 절차를 통해 권리를 구제받으실 수 있습니다.
· 분쟁조정 신청: 개인정보분쟁조정위원회(국번없이 1833-6972, www.kopico.go.kr)를 통해 피해 분쟁조정을 신청하실 수 있습니다.
· 손해배상 청구: 개인정보보호법에 따라 고의 또는 과실 없음을 입증하지 못하는 한 손해배상 책임을 지게 되며 손해배상을 법원에 청구하실 수 있습니다.
6. 피해 신고 접수 담당부서 및 연락처
개인정보 악용으로 인한 피해나 의심 사항이 있으실 경우 아래 접수 부서로 문의해 주시기 바랍니다.
· 담당 부서 : 광주 동구청 마을자치과
· 피해 접수 직통 전화 : 062-608-4623
· 이메일 접수 : jeongkim@korea.kr
다시 한번 이번 사태로 심려를 끼쳐드린 점 머리 숙여 깊이 사과드립니다.
□ 대응내역
- (사이버침해대응센터) 유출 사실 동구청 통보(11월 5일)
- (광주 동구청) 관리자 페이지 외부 접근 차단, API 권한 검증·본인 인증 적용, 로그·DB 전수 조사
- (광주 동구청) 접속 기록 보존, 유관 보안기관·개발사와 침해 방지 조치, 대상 주민 문자 통지, 공지 게시
※ 접속 주체, 개발사명, 개인정보보호위원회 신고 여부는 미공개
□ 재발방지대책(권고사항)
1. 기술적 조치
- 관리자 페이지 외부 차단(내부망·VPN 전용)과 MFA 적용
- 모든 API에 서버 측 인증·권한 검증 적용(화면 숨김만으로 보호하지 않기)
- 개인정보 엑셀 다운로드 시 사유 입력·승인, 다운로드 이력 모니터링
2. 관리적 조치
- 지자체 위탁 개발 서비스 오픈 전 보안 취약점 점검 의무화
- 운영 중인 주민 서비스 전수 점검(관리자 페이지 노출 여부)
- 주민 대상 구청·포인트 지급 사칭 스미싱 주의 안내
□ 관련기사(출처)
- 우리동네do반장 개인정보 유출 안내 및 사과의 말씀 - 광주 동구청
- 지자체 주민 애플리케이션서도 2101명 개인정보 유출 - 뉴스1
- 전남광주 동구 주민 플랫폼서 개인정보 2천여건 유출 - 남도일보
- 전남광주 동구 마을공동체 앱서 2천101명 개인정보 유출 - 서플
감사합니다.