정부24 개인정보 유출사고
정부24 개인정보 유출사고는 2024년 4월 정부24 연계 민원서류 오발급과 2025년 5월 주민등록증 발급상황 조회 서비스 인증 취약점으로 개인정보가 타인에게 노출된 공공 전자정부 서비스 개인정보 유출 사고이다.
정부24 개인정보 유출사고는 행정안전부가 운영하는 통합행정 서비스 포털 정부24에서 발생한 개인정보 노출·유출 사고를 말한다. 개인정보보호위원회는 2026년 5월 27일 제10회 전체회의에서 행정안전부가 정부24 운영 과정에서 개인정보 보호법을 위반했다고 판단하고, 과징금 2억 7,300만 원과 과태료 750만 원 부과, 시정권고, 공표 및 공표명령을 의결하였다.[1]
개인정보위가 밝힌 정부24 관련 주요 사실관계는 크게 두 가지이다. 첫째, 2024년 4월 정부24를 통해 발급받을 수 있는 교육부 NEIS 연계 민원서류와 국세청 납세증명서 관련 소스코드 개발 오류로 1,233명의 개인정보가 타인에게 공개되었다. 둘째, 2025년 5월 정부24 주민등록증 발급상황 조회 서비스의 인증 취약점으로 주민등록증 발급상황 4건이 타인에게 조회되었다.[1]
정부24는 정부의 민원서비스, 혜택알리미, 정책정보 등을 한 곳에서 찾고, 각 기관의 주요 서비스를 신청·조회·발급할 수 있는 대한민국 정부 대표 포털이다. 정부24 공식 소개에 따르면 민원서비스는 중앙행정기관, 공공기관, 지방자치단체 서비스 안내와 정부24가 각 기관과 연계해 신청·조회·발급할 수 있는 서비스를 통합 제공하며, 약 1만 2천 개의 서비스가 제공되고 약 1천 3백여 개 서비스의 신청·발급이 가능하다.[2]
| 구분 | 내용 |
|---|---|
| 서비스명 | 정부24 |
| 운영 주체 | 행정안전부 |
| 서비스 성격 | 통합행정 서비스 포털, 전자정부 민원 신청·조회·발급 서비스 |
| 주요 기능 | 민원서비스, 혜택알리미, 정책정보, 기관정보, 사실·진위 확인, 원스톱서비스, 전자증명서 관련 기능 |
| 사고 관련 기능 | 교육부 NEIS 연계 민원서류 발급, 국세청 납세증명서 발급, 주민등록증 발급상황 조회 |
| 날짜 | 내용 |
|---|---|
| 2024년 4월 1일 | 개인정보위 조사 결과, 행정안전부는 교육부 NEIS 연계 민원 관련 유출 사실을 인지하였다. 그러나 정보주체 통지는 2024년 4월 11일부터 4월 22일까지 이루어져, 개인정보위는 정당한 사유 없이 72시간을 경과해 통지한 것으로 판단하였다.[1] |
| 2024년 4월 초 | 정부24에서 발급된 일부 민원 증명서에 오류가 발생하였다. 행정안전부는 설명자료에서 정부24 일부 민원 증명서가 오발급된 사실을 확인하고, 오발급된 민원서류 삭제와 시스템 수정·보완을 했다고 밝혔다.[3] |
| 2024년 5월 4~6일 | 언론 보도를 통해 정부24에서 성적증명서, 졸업증명서, 납세증명서 등 민원서류가 타인에게 잘못 발급되어 개인정보가 유출된 사실이 뒤늦게 알려졌다. 행정안전부 자체 점검 결과 교육 민원 서비스 오류 발급 646건, 납세증명서 오류 발급 587건 등 총 1,233건으로 집계되었다고 보도되었다.[4][5] |
| 2025년 5월 | 정부24 주민등록증 발급상황 조회 서비스의 인증 취약점으로 주민등록증 발급상황 4건이 타인에게 조회되었다. 개인정보위 자료에는 이 중 사망자 1인이 포함된 것으로 설명되어 있다.[1] |
| 2026년 5월 27일 | 개인정보위가 행정안전부의 정부24 운영 관련 개인정보 보호법 위반 사항을 심의·의결하였다.[1] |
| 2026년 5월 28일 | 개인정보위가 행정안전부에 과징금 2억 7,300만 원과 과태료 750만 원을 부과하고, 시정권고와 공표·공표명령을 의결했다는 보도자료를 공개하였다.[1] |
개인정보위가 공개한 정부24 관련 유출 항목은 다음과 같다.[1]
| 사고 구분 | 유출 규모 | 유출 항목 |
|---|---|---|
| 교육부 NEIS 연계 민원서류 오발급 | 646명 | 생활기록부, 졸업증명서 등 6종에 포함된 성명, 생년월일 또는 주민등록번호, 학교정보 |
| 국세청 납세증명서 오발급 | 587명 | 법인 대표자 성명 및 주민등록번호 |
| 주민등록증 발급상황 조회 서비스 인증 취약점 | 주민등록증 발급상황 4건, 정보주체 기준 3명 | 발급신청일 및 처리 여부. 개인정보위 자료에 따르면 이름과 주민등록번호를 입력해 조회되는 구조와 관련되어 있었다. |
2024년 4월 사고와 관련하여 언론은 타인의 이름, 주민등록번호, 주소, 납세 내역 등 개인정보가 포함된 민원서류가 잘못 발급되었다고 보도하였다.[4] 한겨레는 교육 민원 증명서와 법인용 납세증명서 오발급을 합해 1,233건이 발생했다고 보도하였다.[5]
개인정보위는 정부24 사고의 원인을 소스코드 개발 오류, 사전 점검 미흡, 인증 취약점 미조치 등으로 보았다. 국세 납세증명서 서식 변경을 위해 개발한 소스코드와 관련해서는 개인 발급만 테스트하고 법인 발급 테스트를 누락하는 등 점검이 소홀했다고 판단하였다. 또한 주민등록증 발급상황 조회 서비스에 사용된 본인인증 모듈의 취약점을 발견하고도 조치하지 않은 사실을 확인하였다.[1]
주요 기술적·관리적 쟁점은 다음과 같다.
- 연계 서비스 개발 오류: 정부24는 여러 행정기관 시스템과 연계해 민원서류를 발급하므로, 연계 데이터 매핑과 발급 대상자 검증 오류가 개인정보 유출로 이어질 수 있다.
- 테스트 범위 누락: 납세증명서 서식 변경 과정에서 법인 발급 테스트가 누락된 것으로 판단되어, 배포 전 검증 범위와 회귀 테스트의 적정성이 문제가 되었다.
- 인증 취약점 관리: 주민등록증 발급상황 조회 서비스에서 본인인증 모듈 취약점이 발견·조치되지 않은 점은 취약점 점검, 조치 이력 관리, 중요 서비스 접근통제의 문제로 볼 수 있다.
- 유출 통지 지연: 개인정보위는 NEIS 연계 민원 관련 유출 사실을 2024년 4월 1일 인지했음에도 정당한 사유 없이 72시간을 넘겨 통지한 점을 위반 사항으로 보았다.[1]
- 수탁자 공개 누락: 개인정보위는 개인정보처리방침에 위탁업무와 수탁자를 공개하면서 수탁업체인 메타빌드㈜를 2023년 9월 18일부터 2024년 5월 1일까지 누락한 사실도 확인하였다.[1]
행정안전부는 2024년 5월 5일 설명자료에서 2024년 4월 초 정부24에서 발급된 일부 민원 증명서에 오류가 있는 사실을 확인했으며, 시스템 점검을 통해 연계 시스템상 오류 등으로 일부 민원 증명서가 오발급된 사실을 확인했다고 밝혔다. 또한 오발급된 민원서류를 삭제하고, 당사자 전체에게 관련 사실을 알렸으며, 당시 오류 발급 원인을 파악해 시스템을 수정·보완했다고 설명하였다.[3]
다만 개인정보위는 이후 조사에서 행정안전부의 개발·운영 관리 및 통지 절차에 위반 사항이 있었다고 판단하였다. 이에 따라 정부24 관련 사안에 대해 과징금 2억 7,300만 원과 과태료 300만 원, 프로그램 개발 관련 사전검토 강화 시정권고, 처분 결과 공표 및 공표명령이 의결되었다. 같은 보도자료에서 개인정보위는 공유누리 홈페이지 업무게시판 접근통제 미조치에 대해서도 별도로 과태료 450만 원과 공표를 의결하였다.[1]
| 처분 대상 | 처분 내용 | 비고 |
|---|---|---|
| 행정안전부 | 과징금 2억 7,300만 원, 과태료 750만 원, 시정권고, 공표, 공표명령 | 개인정보위 2026년 5월 27일 제10회 전체회의 의결 결과 |
| 정부24 관련 부분 | 과징금 2억 7,300만 원, 과태료 300만 원, 프로그램 개발 관련 사전검토 강화 시정권고 | NEIS 연계 민원서류 및 국세청 납세증명서 오발급, 주민등록증 발급상황 조회 서비스 인증 취약점, 통지 지연, 수탁자 공개 누락 등 |
| 공유누리 관련 부분 | 과태료 450만 원, 공표 | 정부24 자체 사고는 아니나, 같은 행정안전부 처분 보도자료에서 함께 다루어진 접근통제 미조치 사안 |
개인정보위는 이번 처분의 의의로, 소스코드 개발 오류나 보안 취약점 미조치 등 처리시스템의 안전성 확보 실패로 유출이 발생한 경우 해당 시스템의 최종 책임 주체인 공공기관에 개인정보 보호법상 안전조치의무 위반 책임이 있음을 명확히 했다고 설명하였다.[1]
개인정보 보호법 제34조는 개인정보처리자가 개인정보의 분실·도난·유출 등을 알게 된 경우 유출된 개인정보 항목, 유출 시점과 경위, 정보주체가 피해를 최소화하기 위해 할 수 있는 방법, 개인정보처리자의 대응조치와 피해 구제절차, 신고 접수 담당부서와 연락처 등을 정보주체에게 알려야 한다고 규정한다.[6]
개인정보위의 개인정보 유출신고제도 안내에 따르면 개인정보처리자는 1천 명 이상의 정보주체에 관한 개인정보 유출, 민감정보 또는 고유식별정보 유출, 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부의 불법적 접근에 의한 유출 등을 알게 된 경우 72시간 이내 신고해야 한다.[7]
정부24 사고는 민간 기업이 아닌 공공기관의 전자정부 서비스 운영 과정에서 발생한 사고라는 점에서 공공 정보화사업의 개발·검수·운영 책임, 연계 시스템 변경관리, 본인확인 취약점 관리, 수탁자 관리·감독 의무의 중요성을 보여주는 사례로 평가된다.
정부24는 주민등록표 등본·초본, 납세증명, 토지대장, 가족관계 관련 민원 등 국민 생활과 밀접한 행정서비스를 제공하는 대표 전자정부 포털이다. 따라서 민원서류 오발급 사고는 단순 서비스 오류를 넘어 주민등록번호, 학교정보, 납세정보 등 신원·행정 정보가 권한 없는 제3자에게 노출될 수 있다는 점에서 파급력이 컸다.
2026년 6월 12일 기준으로 공개된 자료상 개인정보위 처분은 확인되었으나, 개별 피해자에 대한 보상 여부나 추가 행정·사법 절차는 공개 자료만으로 확정하기 어렵다. 본 문서는 행정안전부 설명자료, 개인정보위 처분 보도자료, 확인 가능한 언론 보도를 기준으로 작성되었다.
- ↑ 1.00 1.01 1.02 1.03 1.04 1.05 1.06 1.07 1.08 1.09 1.10 1.11 개인정보보호위원회, 「개인정보위, 안전조치 및 수탁자 감독 의무 위반한 5개 기관·업체 제재」, https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12121, 확인한 날짜: 2026년 6월 12일.
- ↑ 정부24, 「정부24 개요」, https://plus.gov.kr/portal/custcntr/gov24intrcn/gov24otln/, 확인한 날짜: 2026년 6월 12일.
- ↑ 3.0 3.1 행정안전부, 「(설명) 중고교 성적·납세 내역 등 정보유출... 민원24 또 오류(채널A 등)」, https://www.mois.go.kr/frt/bbs/type001/commonSelectBoardArticle.do?bbsId=BBSMSTR_000000000009&nttId=109048, 확인한 날짜: 2026년 6월 12일.
- ↑ 4.0 4.1 연합뉴스, 「정부24서 개인정보 유출…행안부는 규모·원인 등 '쉬쉬'」, https://www.yna.co.kr/view/AKR20240504046900530, 확인한 날짜: 2026년 6월 12일.
- ↑ 5.0 5.1 한겨레, 「‘정부24’ 서류 뗐더니 남 개인정보…1200건 유출에 “개발자 실수”」, https://www.hani.co.kr/arti/area/capital/1139358.html, 확인한 날짜: 2026년 6월 12일.
- ↑ 국가법령정보센터, 「개인정보 보호법 제34조」, https://www.law.go.kr/LSW//lsLawLinkInfo.do?chrClsCd=010202&lsId=011357&lsJoLnkSeq=1000089678&print=print, 확인한 날짜: 2026년 6월 12일.
- ↑ 개인정보보호위원회, 「개인정보 유출신고제도」, https://www.pipc.go.kr/np/default/page.do?mCode=D030040000, 확인한 날짜: 2026년 6월 12일.
