부산 학교 전산업체 직원의 여교사 194명 딥페이크 사건

30대 남성 A씨가 학교 전산장비 유지·보수 위탁업체 직원으로 부산 지역 학교·유치원 19곳을 돌며 전산 관리 업무를 시작했다. 그는 정기 점검을 명목으로 교내에 자유롭게 출입할 수 있는 위치에 있었다. 이후 4년 넘게 이어진 범행의 시작점이 된 시기로, 당시에는 누구도 그의 범행 가능성을 의심하지 못했다. 학교 측은 외주업체 직원에 대한 별도의 보안 교육이나 접근 권한 관리를 엄격히 하지 않았던 것으로 나중에 드러났다. 이는 교육 현장의 외주 인력 관리 체계에 구조적 허점이 있었음을 보여주는 사례가 됐다.

A씨는 학교 전산 점검을 하는 척하며 여교직원들이 자리를 비운 사이 로그인 상태로 남아 있던 구글 포토와 네이버 마이박스 등 클라우드 계정에 무단으로 접속했다. 그는 이렇게 확보한 접근 경로를 이용해 교직원들의 개인 사진과 영상을 몰래 내려받는 수법을 반복했다. 피해자들은 자신의 사진이 유출되고 있다는 사실을 전혀 인지하지 못한 채 피해가 누적됐다. 이 수법은 정상적인 업무 수행으로 위장돼 있어 발각되기 어려웠다. 학교 측 감독 소홀과 클라우드 보안 관리 미비가 겹치며 장기간 범행이 가능했던 것으로 분석됐다.

A씨는 몰래 확보한 여교직원들의 얼굴 사진을 AI 애플리케이션을 이용해 음란물에 합성하는 딥페이크 범죄를 저질렀다. 피해자는 모두 여성 교직원으로 확인됐으며, 그는 생성된 딥페이크 영상과 이미지를 개인적으로 소지·유포한 것으로 조사됐다. 생성형 AI 기술의 확산으로 이런 범죄의 제작이 손쉬워진 반면 피해자는 자신이 피해를 입었는지조차 알기 어려운 구조였다. 이 시기 전국적으로도 딥페이크 성범죄 피해가 급증하던 추세와 맞물려 있었다. 범행은 이후에도 계속 이어지며 피해 규모가 눈덩이처럼 불어났다.

4년 넘게 이어지던 A씨의 범행은 한 피해 교직원이 우연히 USB를 발견하면서 마침내 덜미가 잡혔다. 해당 USB에서 자신을 비롯한 다수 동료 교직원의 사진과 영상이 무단으로 저장돼 있는 것을 확인한 피해자는 즉시 경찰에 신고했다. 이를 계기로 경찰의 정식 수사가 시작됐고, A씨의 범행 규모가 예상보다 훨씬 크다는 사실이 속속 드러났다. 수사 초기부터 피해자 수와 유출 파일 규모에 수사관들도 놀랐다는 후문이다. 이 발견은 4년간 은폐돼 온 대규모 범행을 세상에 알리는 결정적 계기가 됐다.

부산경찰청 사이버범죄수사대는 교직원 194명의 클라우드 계정 등에서 개인 사진과 영상 22만1921개 파일을 유출한 혐의로 A씨를 구속 송치했다고 밝혔다. 경찰 조사 결과 그는 2021년 7월부터 2025년 9월까지 부산의 학교와 유치원 19곳을 돌며 지속적으로 범행을 저지른 것으로 확인됐다. 피해자는 전원 여성 교직원으로, 유출된 자료 중 상당수가 딥페이크 음란물 제작에 사용된 것으로 드러났다. 경찰은 A씨를 개인정보보호법 위반과 성폭력처벌법상 허위영상물 제작·소지 등의 혐의로 검찰에 넘겼다. 이 사건은 학교 외주 인력에 대한 보안 관리 체계 전반의 허점을 드러낸 사례로 기록됐다.

사건이 알려지자 교육 현장의 외주 전산 인력에 대한 보안 관리 체계가 사실상 무방비 상태였다는 비판이 쏟아졌다. 교원단체들은 외주업체 직원의 학교 출입과 전산 접근 권한을 엄격히 통제하는 제도적 장치 마련을 교육당국에 요구했다. 교육부와 부산시교육청은 전산 유지보수 업체에 대한 전수 점검과 재발 방지 대책 마련에 나서겠다고 밝혔다. 피해 교직원들은 정신적 충격을 호소하며 법적 대응과 함께 학교 측의 관리 책임도 함께 규명해야 한다고 주장했다. 이 사건은 이후 전국 학교의 외주 인력 보안 관리 실태를 점검하는 계기가 됐다.