News[ISAA Lab.] 민주신문(26.08.12) 교육업계도 개인정보 유출 빈번…50여 개 분원 둔 학원도 뚫렸다(교수님 인터뷰)
Author 관리자시스템Date 2026-08-13Views 148
교육업계에서 개인정보 유출 사고가 잇따르고 있다. 공단기·영단기 등을 운영하는 에스티유니타스와 교육 플랫폼 아이스크림미디어에 이어 이번에는 수학 전문학원 필즈더클래식에서 학생과 학부모의 개인정보가 유출됐다.
학생의 이름과 학교는 물론 학부모 이름과 연락처, 주소 일부까지 유출 대상에 포함되면서 교육업계의 개인정보 관리 체계를 둘러싼 우려가 커지고 있다.
12일 교육업계에 따르면 ㈜매쓰러닝이 운영하는 필즈더클래식은 지난 3일 낮 12시께 학원 입학테스트 예약시스템에 미상의 해커가 접근, 입학테스트 이력에 포함된 개인정보 일부가 유출된 사실을 확인했다.
필즈더클래식은 서울 강남구 대치동에서 시작해 전국에 50여 개 분원을 둔 수학 학원이다.
유출된 개인정보는 학생 이름과 학교, 학부모 이름, 휴대전화번호, 주소 일부 등이다. 학생뿐 아니라 학부모의 개인정보까지 외부로 빠져나간 것이다.
필즈더클래식 측은 서버 해킹을 통한 무단 접근으로 개인정보가 유출된 것으로 추정하고 있다.
사고를 인지한 직후에는 신규 데이터 유입을 막기 위해 홈페이지 온라인 예약시스템 운영을 중단하고 관련 개인정보를 모두 삭제하는 조치를 취했다.
관계기관 신고도 이뤄졌다. 필즈더클래식은 수서경찰서 사이버수사대에 신고하는 한편 개인정보보호위원회와 한국인터넷진흥원(KISA)에도 개인정보 유출 사실을 신고했다.
현재 정확한 유출 경위와 규모를 파악하기 위한 조사도 진행 중이다. 필즈더클래식은 디지털 포렌식 전문기관을 통해 유출 경위와 규모를 정밀 조사하고 있으며 재발 방지를 위한 보안 체계 강화에도 나설 예정이다.
필즈더클래식 측은 "이번 사고로 심려를 끼쳐드린 점 깊이 사과의 말씀을 드린다"며 "출처가 불분명한 문자나 전화 등 스미싱·피싱에 주의하고 의심스러운 연락을 받을 경우 해당 센터로 즉시 연락해 달라"고 당부했다.
문제는 올해 들어 교육업계에서 개인정보 유출 사고가 반복되고 있다는 점이다.
앞서 지난 6월에도 공단기와 영단기 등의 교육 브랜드를 운영하는 에스티유니타스에서 비인가 접근에 따른 개인정보 유출 사고가 발생한 바 있다.
이로 인해 당시 이메일 가입 회원의 경우 이메일과 암호화된 비밀번호, 이름, 생년월일, 성별, 전화번호, 주소 등이 유출됐다. 또 간편회원의 이메일, 이름, 생년월일, 성별, 전화번호, 주소 역시 유출 항목에 포함됐다.
지난 3월에는 교육 플랫폼을 운영하는 아이스크림미디어에서도 개인정보 유출 사고가 발생했다. 아이디와 이름, 이메일, 생년월일, 성별, 휴대전화번호를 비롯해 학교명과 학교 주소, 학교 연락처 등 개인정보가 유출됐다. 이후 조사에서 유출 규모는 약 20만 건으로 파악됐다.
이처럼 학원과 교육업체는 이용자의 이름과 생년월일, 연락처 등 기본적인 개인정보뿐 아니라 학생의 학교와 학부모 연락처, 주소 등 다양한 정보를 함께 보유하는 경우가 있어 정보 유출에 따른 2차 피해 우려가 높다.
유출된 학생과 학부모의 개인정보가 결합될 경우 특정 개인을 겨냥한 스미싱이나 피싱 등 2차 범죄에 악용될 가능성이 더 높은 만큼 교육업계 전반의 개인정보 보호 체계를 강화해야 한다는 지적이 나온다.
곽진 아주대학교 사이버보안학과 교수는 "교육업계 유출은 건수가 아니라 '결합'으로 봐야한다"며 "통신사나 카드사 유출은 규모가 커도 항목이 거의 동일한 반면 원·교육업체는 학생 이름과 학교, 학년, 집 주소, 학부모 연락처, 등하원 시간이 묶여 있다. 이는 단순한 회원 명단이 아니라 학생의 생활 동선 그 자체"라고 강조했다.
이어 "100건이 100만 건보다 위험할 수 있다는 뜻"이라며 "학부모·학원 사칭 스미싱이나 학생 대상 접근으로 피해가 확대될 수 있다. 학생이 다니는 학교와 집 주소는 바꾸는 것이 쉽지 않다. 단순하게 비밀번호 변경과는 다른 이야기다. 즉, 회복이 불가능할 수도 있는 유출이라는 점에서 다른 업종과는 다른 무게로 봐야 한다"고 말했다.
곽 교수는 "이에 따른 선행 과제는 일단 데이터 다이어트를 꼽을 수 있다"며 "수집 항목에서 '집 주소가 정말 필요한가'부터 다시 검토하고, 보유기간이 지나면 자동 파기되도록 시스템에 못 박아야 한다. 안전한 저장보다는 불필요한 데이터의 파기가 중요하다. 탐지 및 관리체계도 강화해야 한다"고 설명했다.
아울러 "외주 개발 내용과 학원 자체가 보유하거나 공유하고 있는 계정을 포함해 시스템을 전수 조사하고, 관리자 계정과 접근 권한도 최소한으로 잘라내야한다"며 "'우리는 규모가 작은 학원'이라는 말은 더 이상 방패가 되지 못한다. 보안은 더 이상 비용이 아니라 반드시 필요한 보험이라고 봐야 한다"고 강조했다.
염흥열 순천향대학교 정보보안학과 교수 역시 "사설 교육기관이 수집하고 처리하는 개인정보는 청소년 시기의 개인정보로 더욱 보호에 신경을 써야 한다"며 "일차적으로 수집하는 개인정보를 처리 목적에 맞게 최소화해야 한다"고 설명했다.
이어 "처리하는 취급자의 수를 최소로 제한하고 개인정보처리시스템 대한 엄격한 접근 통제와 2차 인증을 적용해야 한다"며 "안전성이 검증된 클라우드 서비스를 활용한 개인정보처리 시스템의 구성과 운영도 고려해야 한다"고 강조했다.
그러면서 "교육부나 제3자 점검기관에 의한 개인정보 안전성 조치의 준수 여부를 주기적 점검할 필요가 있다"고 덧붙였다.