PC 점검 맡겼더니 사진 유출…학교 전산관리자 ‘딥페이크 범죄’
부산지역 학교 전산장비를 관리하던 외부업체 직원이 교직원들의 개인 사진과 영상을 몰래 빼돌려 성적 허위 영상물, 이른바 딥페이크를 제작한 혐의로 검찰에 넘겨졌다. 피의자는 업무상 학교에 드나들 수 있는 지위를 이용해 교직원 PC와 클라우드 계정에 접근한 것으로 조사됐다. 학교 정보보안의 허점이 디지털 성범죄로 이어진 사례라는 점에서 파장이 커지고 있다.
부산경찰청 사이버수사과는 30대 남성 A 씨를 정보통신망법 위반 등 혐의로 구속 송치했다고 밝혔다. A 씨는 2021년 7월부터 지난해 9월까지 부산지역 19개 학교 교직원 194명의 PC에서 개인 사진과 영상 등 22만 1천921개 파일을 자신의 USB에 저장해 유출한 혐의를 받고 있다. 경찰 조사 결과 피해자는 모두 여성이었다.
A 씨는 단순히 자료를 유출하는 데 그치지 않은 것으로 파악됐다. 경찰은 A 씨가 확보한 사진과 영상을 바탕으로 딥페이크 영상 20개를 제작해 보관한 정황을 확인했다. 또 교직원의 치마 속 등을 45차례 불법 촬영하고, 음란사이트에서 아동·청소년 성착취물과 불법촬영물을 내려받아 보관한 혐의도 적용했다. 경찰이 확인한 문제성 자료는 딥페이크 등을 포함해 영상 533개, 전체 용량 405GB에 달했다.
범행 수법은 학교 전산 유지·보수 업무의 특성을 악용한 방식이었다. A 씨는 PC 점검 요청을 받고 학교에 출입한 뒤, 교직원들이 자리를 비운 틈을 이용해 로그인 상태로 남아 있던 구글 포토와 네이버 마이박스 등 클라우드 계정에 접속한 것으로 조사됐다. 이후 개인 사진과 영상을 USB에 저장해 가져갔다. 외부 유지보수 인력이 내부 PC와 계정에 접근할 수 있는 상황에서, 현장 감독과 계정 보호가 제대로 이뤄지지 않은 셈이다.
범행은 우연히 드러났다. A 씨가 문제의 USB를 학교에 두고 갔고, 이를 발견한 학교 관계자가 내용을 확인하는 과정에서 유출 정황이 확인됐다. 이후 경찰은 A 씨의 주거지와 사무실을 압수수색해 휴대전화, USB, 외장하드, PC 등을 확보했고, 디지털 포렌식을 통해 유출 파일과 딥페이크 제작 정황, 불법 촬영물 보관 사실을 확인했다. 경찰은 현재까지 딥페이크 자료가 온라인에 유포된 정황은 확인되지 않았다고 설명했다.
이번 사건은 딥페이크 성범죄와 개인정보 유출, 불법 촬영이 결합된 복합 범죄로 볼 수 있다. 특히 피의자가 학교 전산장비 관리 업무를 맡은 외부 인력이라는 점에서 피해자들이 스스로 위험을 인지하기 어려웠다. 일반적인 해킹이 아니라 ‘점검’이라는 정상 업무 절차 속에서 접근이 이뤄졌기 때문에, 학교 현장의 보안 관리 체계가 얼마나 촘촘했는지가 중요한 쟁점이 된다.
법적 책임도 가볍지 않다. 성적 허위 영상물 제작·반포 등은 성폭력처벌법상 처벌 대상이며, 정보통신망에 무단 접근하거나 타인의 정보를 유출한 행위는 정보통신망법 위반으로 문제 될 수 있다. 아동·청소년 성착취물 소지나 저장이 확인될 경우 아동·청소년성보호법상 별도 처벌 대상이 된다. 다만 구체적 혐의와 형량은 검찰의 기소 내용과 법원의 판단을 거쳐 확정된다.
경찰은 부산교육청에 정보보호 보안 강화를 권고했다. 학교와 유치원 등 교육기관은 외부업체에 전산장비 유지·보수를 맡기는 경우가 많다. 이때 담당자가 교직원 계정에 접근하지 못하도록 로그아웃을 생활화하고, 점검 과정에는 내부 관리자가 동행하며, USB 등 외부 저장장치 사용을 제한하는 조치가 필요하다. 클라우드 계정 자동 로그인 해제, 2단계 인증 설정, 민감한 개인자료의 업무용 PC 저장 제한도 기본적인 예방책으로 꼽힌다.
이번 사건은 기술의 문제가 아니라 신뢰와 권한 관리의 문제다. 학교는 외부 전산 인력에게 장비 접근권을 줄 수밖에 없지만, 그 권한이 개인의 사생활과 성적 자기결정권을 침해하는 통로가 되어서는 안 된다. 유지·보수 업무를 맡기는 기관은 접근 권한을 최소화하고, 작업 기록을 남기며, 점검 이후 계정 접속 이력과 저장장치 사용 여부를 확인하는 절차를 제도화해야 한다.
딥페이크 범죄는 피해자의 사진 한 장만으로도 시작될 수 있다. 이번 사건처럼 사적 사진과 영상이 대량으로 유출되면 피해자는 자료가 실제 유포되지 않았더라도 심각한 불안과 고통을 겪을 수밖에 없다. 경찰 수사는 일단 송치 단계로 넘어갔지만, 남은 과제는 피해자 보호와 2차 피해 차단, 그리고 학교 현장의 정보보안 체계를 다시 세우는 일이다.