서강대 해킹 공격, 재학생·졸업생·교직원 개인정보 대규모 유출

---

서강대학교가 외부 해킹 공격을 받아 재학생, 졸업생, 교직원의 개인정보가 유출되는 사고가 발생했다. 유출 항목에는 성명, 소속, 이메일, 휴대전화번호, 암호화된 비밀번호가 포함된 것으로 확인됐다. 대학 측은 교육부와 개인정보보호위원회에 신고를 완료하고 피해 규모 파악에 나섰다.

---

사고 경위 및 유출 현황

서강대학교는 최근 외부로부터 해킹 공격을 받아 교내 정보시스템에 저장된 개인정보가 외부로 유출된 사실을 확인했다. 이번 사고로 유출된 개인정보 항목은 △성명 △소속(학과·부서) △이메일 주소 △휴대전화번호 △암호화된 비밀번호 등 5개 항목이다.

특히 이번 유출은 재학생뿐만 아니라 졸업생과 교직원까지 포함되어 피해 규모가 상당할 것으로 예상된다. 대학이 보유한 개인정보의 특성상 수년간 축적된 졸업생 정보까지 유출 대상에 포함될 가능성이 높아, 최종 피해자 수는 수만 명에 달할 수 있다는 관측이 나온다.

대학 측은 사고 인지 즉시 교육부와 개인정보보호위원회에 침해사고를 신고했으며, 현재 정확한 피해 규모와 침입 경로를 파악하고 있다고 밝혔다.

---

교육기관 해킹, 반복되는 패턴

이번 서강대 사례는 최근 교육기관을 겨냥한 사이버 공격이 지속적으로 발생하고 있다는 점에서 주목된다. 대학교는 방대한 양의 개인정보를 장기간 보유하면서도, 상대적으로 보안 투자가 부족한 경우가 많아 해커들의 주요 타깃이 되어왔다.

공통적으로 나타나는 문제점은 다음과 같다.

첫째, 장기 보유 데이터 관리 미흡이다. 졸업생 정보를 별도 분리·암호화하지 않고 동일 시스템에서 관리하는 경우, 사고 발생 시 피해 범위가 기하급수적으로 확대된다.

둘째, 접근권한 관리 부실이다. 교직원과 학생이 혼재된 환경에서 세분화된 접근통제가 이루어지지 않으면 내부 침투 후 횡적 이동(Lateral Movement)에 취약해진다.

셋째, 침입 탐지 대응 지연이다. 실시간 모니터링 체계가 미비할 경우 공격자가 장기간 시스템에 잠복하며 데이터를 유출할 수 있다.

---

기관 대응 방안 및 권고사항

이번 사고를 계기로 교육기관은 다음과 같은 보안 강화 조치를 검토해야 한다.

① 개인정보 보유 최소화 원칙 적용: 졸업생 등 목적 달성 후 불필요한 개인정보는 지체 없이 파기하고, 불가피하게 보관 시 별도 분리 저장 및 강화된 암호화를 적용해야 한다.

② 침입탐지시스템(IDS) 및 보안관제 강화: 24시간 실시간 모니터링 체계를 구축하고, 이상 징후 발생 시 즉각 대응할 수 있는 프로세스를 마련해야 한다.

③ 정기적 모의해킹 및 취약점 점검: 연 1회 이상 외부 전문기관을 통한 모의침투 테스트를 실시하여 시스템 취약점을 사전에 발견·조치해야 한다.

④ 정보주체 신속 통지: 개인정보보호법 제34조에 따라 유출 사실을 지체 없이 정보주체에게 알리고, 2차 피해 예방을 위한 비밀번호 변경 등을 안내해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[개인정보보호법 제34조 – 개인정보 유출 통지]

>

개인정보처리자는 개인정보 유출 사실을 알게 된 때에는 지체 없이 해당 정보주체에게 ①유출된 항목 ②유출 시점과 경위 ③피해 최소화 방법 ④대응조치 및 피해구제 절차 ⑤담당부서 연락처를 통지해야 한다. 1천 명 이상 유출 시에는 개인정보보호위원회에도 신고해야 하며, 홈페이지 게재 등 추가 조치가 필요하다. ISMS-P 인증기준에서는 '침해사고 대응 및 개인정보 유출 대응'(3.4.3) 항목에서 이를 평가한다.

---

기자 백남정 | nam@privacynews.kr